Sanctions et mesures correctrices : la CNIL présente le bilan 2025
CNIL — Licence Ouverte / Etalab 2.0. Publication d'origine, 9 février 2026.
L'essentiel
- En 2025, 83 sanctions ont été prononcées par la CNIL, pour un montant total de 486 839 500 euros.
- C’est au regard de ces éléments que la formation restreinte a prononcé à l’encontre de deux acteurs majeurs des amendes d’un montant de 325 millions et de 150 millions d’euros.
- 16 organismes ont été sanctionnés en 2025 pour non-respect des règles applicables à la vidéosurveillance des salariés.
Phrases relevées telles quelles dans le texte officiel reproduit ci-dessous (CNIL, Licence Ouverte / Etalab 2.0).
Texte officiel intégral
Ci-dessous, le corps complet de la publication de CNIL, reproduit sans modification. La Licence Ouverte / Etalab 2.0 en autorise expressément la reproduction, à la seule condition d'en mentionner la paternité.
En 2025, 83 sanctions ont été prononcées par la CNIL, pour un montant total de 486 839 500 euros. Parmi ces sanctions, 16 ont été prononcées par la formation restreinte, organe de la CNIL en charge de prononcer les sanctions selon la procédure ordinaire, et 67 par son président seul ou par un membre de cette formation, dans le cadre de la procédure simplifiée mise en place en 2022.
Ces sanctions comportent 78 amendes (dont 27 avec injonctions sous astreinte), trois décisions de liquidation d’astreinte (c’est-à-dire le paiement d’une somme en raison du non-respect d’un ordre donné par la CNIL dans sa décision de sanction) et deux rappels à l’ordre. Dix de ces décisions ont été rendues publiques.
Parmi les seize décisions de sanction adoptées par la formation restreinte selon la procédure ordinaire, quatre ont été adoptées en coopération avec les homologues européens de la CNIL, dans le cadre du guichet unique prévu par le RGPD. En parallèle, la CNIL a examiné 9 projets de décision d’homologues européens relatifs à des traitements qui concernent notamment des personnes résidant en France.
21 ont ainsi été sanctionnés par la formation restreinte ou dans le cadre de la procédure de sanction simplifiée, pour divers manquements aux règles régissant les traceurs : dépôt sans le consentement de l’utilisateur, insuffisance des informations délivrées (ne permettant pas de recueillir un consentement éclairé), ou encore absence de prise en compte effective du refus de l’utilisateur ou du retrait de son consentement.
Ces décisions insistent sur l’impact de ces pratiques pour les internautes, dont les données sont parfois traitées à leur insu, et sur le fait que les acteurs sanctionnés ne pouvaient ignorer les règles applicables, la CNIL ayant largement communiqué sur celles-ci depuis plusieurs années. C’est au regard de ces éléments que la formation restreinte a prononcé à l’encontre de deux acteurs majeurs des amendes d’un montant de 325 millions et de 150 millions d’euros.
Faire respecter le cadre applicable à la vidéosurveillance des salariés
16 organismes ont été sanctionnés en 2025 pour non-respect des règles applicables à la vidéosurveillance des salariés.
Sont ainsi contraires à ces règles les dispositifs filmant en continu les employés de caisses d’un magasin ou des bureaux. De même, l’installation de caméras dissimulées ne peut intervenir que dans des circonstances exceptionnelles, et à la condition de ménager un juste équilibre entre l’objectif poursuivi (la protection des biens et des personnes) et la protection de la vie privée des salariés.
Sanctionner les manquements aux obligations des sous-traitants
- mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adéquat ;
- et supprimer les données à l’issue de leur relation contractuelle avec le responsable de traitement.
Procédure de sanction simplifiée : les manquements récurrents sanctionnés
Un manquement relatif à la sécurité des données personnelles a été retenu à l’encontre de 14 organismes qui n’avaient pas mis en œuvre toutes les mesures nécessaires pour assurer la sécurité et la confidentialité des données, comme l’utilisation de mots de passe insuffisamment robustes ou l’usage de comptes partagés entre utilisateurs.
De même, 14 organismes (sociétés, professionnels libéraux) ont été sanctionnés pour n’avoir pas répondu aux demandes de la CNIL.
Enfin, 14 décisions ont été prises en raison de la non prise en compte de demandes d’effacement, d’opposition ou d’accès.
La prospection, qu’elle soit commerciale ou politique, a également fait l’objet de 10 décisions de sanction. La CNIL a rappelé que pour réaliser des opérations de prospection commerciale par voie électronique, le consentement des personnes est obligatoire pour la réalisation de prospection directe ou la transmission de leurs données à des partenaires commerciaux. La CNIL a également sanctionné cinq candidats aux élections européennes et législatives de 2024, rappelant notamment l’obligation pour ces derniers de pouvoir justifier de la licéité des envois de messages de prospection politique.
Toutes les amendes prononcées par la CNIL, qu’elles concernent les acteurs privés ou publics, sont recouvrées par le Trésor public (Direction générale des finances publiques) et sont versées au budget de l’État.
Les mises en demeure
Plusieurs concernaient le secteur de l’aide sociale à l'enfance pour les manquements suivants : l’absence de politique rigoureuse de conservation de données pour les dossiers des mineurs, l’information des personnes, la politique de gestion des habilitations et des mots de passe, la tenue d’un registre des traitements et la réalisation d’une analyse d’impact relative à la protection des données.
Enfin, plusieurs applications mobiles et jeux en ligne dont une part importante des utilisateurs sont des mineurs, ont été mis en demeure de renforcer le contrôle de l’âge des utilisateurs et d’améliorer la transparence afin de mieux protéger les données des mineurs.
Fin du texte officiel repris
Source :CNIL, publié le — Licence Ouverte / Etalab 2.0.
Consulter la publication d'originehttps://www.cnil.fr/fr/bilan-sanctions-2025
Texte reproduit dans son intégralité. La mention de la source et de sa date de dernière mise à jour est la seule condition posée par la Licence Ouverte / Etalab 2.0 ; elle ne confère aucun caractère officiel à cette reprise et ne vaut ni reconnaissance ni caution de fildactu.fr par l'émetteur.
Sources
Sujets liés
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
Le texte encadré plus haut est le corps de la publication de CNIL, repris dans son intégralité et sans modification. La Licence Ouverte / Etalab 2.0 sous laquelle cet organisme diffuse ses informations concède « un droit non exclusif et gratuit de libre réutilisation », dont celui « de la communiquer, la reproduire, la copier » et « de l'exploiter à titre commercial », sous la seule réserve d'en « mentionner la paternité » — la source et la date de dernière mise à jour, portées en tête et en pied du texte, avec le lien vers l'original. La mise en page — chapô détaché, intertitres, sommaire — est de fildactu.fr ; les mots sont ceux de l'émetteur, et pas un n'a été ajouté, retiré ni reformulé. Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.