🔄 Mise à jour majeure 2026 : Article enrichi avec les chiffres CNIL 2024-2025 (€478M d'amendes record, 5,629 violations +20%), nouveau rôle AI Act, et dernières sanctions Google 325M€ (septembre 2025).
Vous vous interrogez sur la CNIL (Commission Nationale de l'Informatique et des Libertés) ? C'est l'autorité française qui veille à la protection de vos données personnelles.
Créée en 1978, la CNIL a connu une montée en puissance spectaculaire depuis l'entrée en vigueur du RGPD en 2018. En 2025, elle a prononcé un montant record de 478 millions d'euros d'amendes, dont la sanction historique de 325M€ contre Google (septembre 2025).
Nouveauté 2026 : Depuis août 2025, la CNIL est également l'autorité de régulation de l'AI Act en France, renforçant considérablement son champ d'intervention sur l'intelligence artificielle.
CNIL en chiffres (2024-2025)
Activité 2024-2025 :
- 5,629 violations de données notifiées en 2024 (+20% vs 2023)
- 1,247 contrôles effectués en 2025 (+15% vs 2024)
- 15,247 plaintes reçues en 2024
- 87 sanctions prononcées en 2024 (vs 42 en 2023)
- €478M total des amendes 2025 (record historique)
Top 5 sanctions CNIL 2025 :
- Google : 325M€ (publicités Gmail sans consentement - sept 2025)
- Shein : 150M€ (utilisation données clients - oct 2025)
- Nexpublica : 1,7M€ (sécurité insuffisante - déc 2025)
- American Express : 1,5M€ (non-respect droits personnes - nov 2025)
- Mobius/Deezer : 1M€ (violation données - déc 2025)
Nouveaux pouvoirs 2025-2026 :
- AI Act : Régulation IA depuis août 2025
- Sanctions cumulées : RGPD (20M€) + AI Act (35M€) = jusqu'à 55M€
- Contrôles prioritaires 2025 : Applications mobiles, IA, mineurs en ligne, cybersécurité
🎯 Dans ce guide, découvrez : Le rôle et les missions de la CNIL, ses nouveaux pouvoirs AI Act 2026, les contrôles et sanctions (exemples 2025), comment éviter un contrôle CNIL.
Définition de la CNIL
Le sigle CNIL signifie Commission Nationale de l'Informatique et des Libertés (CNIL). Son rôle est de veiller à la protection des données personnelles des individus en France.
La CNIL a été créée par la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, aussi appelée "Loi informatique et Libertés". Il s'agit de la première législation en France en matière de protection des données informatiques, avant l'avènement de la réglementation européenne à ce sujet.
La Loi Informatique et Liberté a depuis été modifiée à de nombreuses reprises notamment lors de l'entrée en vigueur du Règlement Général sur la Protection des Données (RGPD) en 2018 à laquelle la loi renvoie expressément.
Notons que la CNIL est une autorité administrative indépendante (AAI) ce qui signifie qu'elle ne reçoit aucune instruction de la part de l'État, elle est parfaitement libre dans ses prises de position et décisions.
Elle est composée de 18 membres issus de l'Assemblée nationale, du Sénat, du Président de la Commission d'accès aux documents administratifs (CADA), de membres des hautes juridictions (Conseil d'État, Cour de cassation, Cour des comptes) et de membres désignés par ces institutions.
CNIL et AI Act : Nouveau rôle depuis 2025
Évolution majeure août 2025 : Depuis l'entrée en vigueur de l'AI Act, la CNIL est désignée comme autorité de régulation de l'intelligence artificielle en France pour :
- ✅ Pratiques de catégorisation biométrique
- ✅ Reconnaissance des émotions (travail, école)
- ✅ Scoring social
- ✅ Prédiction du risque criminel
- ✅ Identification biométrique à distance
Concrètement : Si votre entreprise utilise une IA à haut risque (tri de CV, scoring crédit, biométrie...), la CNIL peut désormais vous contrôler à la fois sur le RGPD ET sur l'AI Act.
Sanctions cumulées possibles : RGPD jusqu'à 20M€ ou 4% du CA mondial + AI Act jusqu'à 35M€ ou 7% du CA mondial = Total théorique jusqu'à 55M€ pour une même infraction.
💡 Important : Depuis août 2026, les entreprises utilisant des IA à haut risque doivent être conformes à l'AI Act sous peine de sanctions.
Quel est le rôle de la CNIL ?
La CNIL est chargée de veiller à la protection des données à caractère personnel contenues dans les traitements informatiques ou papiers, opérés par des organismes publics ou privés.
💡 Pour rappel, les données à caractère personnel sont toutes les informations se rapportant à une personne physique identifiée ou identifiable directement ou indirectement (article 4 RGPD).
À ce titre, elle a pour missions :
Mission n°1 - Informer les professionnels et les particuliers concernant la protection des données personnelles.
Par exemple, en recueillant les plaintes des particuliers qui ne parviennent pas à exercer leurs droits à l'effacement de leurs données personnelles auprès d'une entreprise ou d'un organisme.
Mission n°2 - Accompagner les professionnels dans leur conformité et conseiller le Gouvernement dans la rédaction de nouveaux textes sur le sujet.
Par exemple, la CNIL aide les entreprises dans la désignation de leur délégué à la protection des données (DPO). La CNIL publie des avis sur les projets de loi ou de décret du Gouvernement.
Mission n°3 - Anticiper. La CNIL intervient sur les sujets émergents afin de contribuer au développement des nouvelles technologies en conformité avec la protection des données personnelles.
Par exemple, la CNIL anime des réflexions sur les évolutions des technologies numériques.
Mission n°4 - Contrôler et sanctionner.
La CNIL intervient pour procéder à des contrôles sur place (et sur pièces) auprès des responsables de traitement pour vérifier leurs mises en conformité. Son contrôle est décidé à son initiative ou à la suite de plusieurs plaintes.
Mission n°5 - Réguler l'intelligence artificielle (depuis août 2025).
La CNIL est l'autorité française chargée de faire respecter l'AI Act pour certains systèmes d'IA à haut risque (biométrie, RH, crédit...). Depuis cette mission, la CNIL dispose d'un double pouvoir de contrôle et de sanction (RGPD + AI Act).
Quels sont les pouvoirs de la CNIL ?
Pouvoir de contrôle
La CNIL procède à des contrôles auprès des responsables de traitement, c'est-à-dire tout organisme traitant des données personnelles en France (entreprise, administration, association etc.) et auprès de leurs sous-traitants.
Ces contrôles peuvent s'effectuer de sa propre initiative ou à la suite de réclamations ou de signalements. Le contrôle peut s'effectuer sous plusieurs formes :
- Sur place : investigation dans les locaux de l'organisme par un délégué de la CNIL.
- Sur pièces : par la réponse à un formulaire accompagné de la documentation de l'entreprise.
- Sur audition : audition du responsable de traitement dans les locaux de la CNIL.
- En ligne : vérifications effectuées par les agents de la CNIL directement en ligne (ex : bannière de cookies 🍪).
☝🏻 Le responsable de traitement doit être informé au minimum 24 heures à l'avance avant chaque contrôle.
⚠️ Si un responsable de traitement s'oppose à un contrôle CNIL, cette opposition est punie d'un an de prison et 15 000 euros d'amende (article 226-22-2 code pénal).
Bilan des contrôles CNIL 2024-2025
La CNIL a renforcé son activité de contrôle ces dernières années.
Chiffres clés 2024-2025
- 1 247 contrôles effectués en 2025 (+15% vs 2024)
- 32% des contrôles concernent des PME/TPE
- 15 247 plaintes reçues en 2024
- 5 629 violations de données notifiées en 2024 (+20% vs 2023)
- 87 sanctions prononcées en 2024 (vs 42 en 2023)
- €478M d'amendes en 2025 (record historique)
Thématiques prioritaires de contrôle 2025
Chaque année, la CNIL définit 4 thématiques de contrôle prioritaires. En 2025 :
- Applications mobiles et SDK (collecte excessive, SDK tiers, consentement)
- Protection des mineurs en ligne (moins de 15 ans, plateformes sociales)
- Intelligence artificielle (IA de recrutement, scoring, chatbots)
- Cybersécurité et violations de données (sécurité insuffisante, gestion sous-traitants)
Quels secteurs sont les plus contrôlés ?
- E-commerce (23% des contrôles) - Cookies, prospection, newsletters
- Santé (18%) - Données sensibles, hébergement, AIPD
- RH / Recrutement (15%) - Vidéosurveillance salariés, tri CV par IA
- Finance / Banques (12%) - Scoring, lutte contre la fraude
- Marketing / Publicité (10%) - Traceurs, consentement
Comment éviter un contrôle CNIL ? (Bonnes pratiques)
- Nommer un DPO : obligatoire si plus de 250 salariés ou traitement sensible. Contact privilégié avec la CNIL, réduit le risque de contrôle.
- Tenir un registre des traitements à jour : document n°1 demandé lors des contrôles (obligation RGPD article 30).
- Documenter la conformité : politique de confidentialité, AIPD pour traitements à risque, contrats DPA avec sous-traitants, registre des violations.
- Former les équipes : sensibilisation RGPD annuelle minimum (emails, mots de passe, phishing...).
- Sécuriser les données : chiffrement, MFA, sauvegardes régulières, plan de réponse aux incidents.
- Respecter les droits des personnes : répondre aux demandes d'accès/suppression dans les 30 jours.
Pouvoir de sanction
À la suite du contrôle de la CNIL, plusieurs options sont possibles :
- ✅ Aucun manquement constaté : procédure clôturée.
- ✅ Petits manquements : procédure clôturée avec observations (ex : améliorer la politique de confidentialité).
- ❌ Manquements importants : mise en demeure ou sanction pécuniaire.
La mise en demeure impose à l'organisme de se conformer dans un délai imparti, avec possibilité d'astreinte journalière. En cas de grave manquement, la CNIL peut prononcer une amende administrative jusqu'à 20M€ ou 4% du CA annuel mondial. Ces sanctions peuvent être rendues publiques.
Top 5 des plus grosses sanctions CNIL 2024-2025
La CNIL a prononcé des amendes record en 2025, marquant un durcissement de sa politique répressive.
- Google : 325M€ — Publicités Gmail sans consentement (septembre 2025)
- Shein : 150M€ — Utilisation illicite données clients (octobre 2025)
- Orange : 50M€ — Prospection commerciale sans consentement
- Nexpublica : 1,7M€ — Sécurité insuffisante logiciel PCRM
- American Express : 1,5M€ — Non-respect droits des personnes
Évolution des sanctions CNIL
- 2023 : 42 sanctions — 89M€ total
- 2024 : 87 sanctions (+107%) — 55M€ total
- 2025 : ~100 sanctions estimées — 478M€ total (record absolu)
Tendances 2025 : montants en forte hausse (record 325M€), focus sur cookies/traceurs (40% des sanctions), hausse des sanctions vidéosurveillance, premiers contrôles AI Act.
Conclusion
La CNIL est l'acteur de référence en matière de protection des données personnelles. Elle accompagne les professionnels dans leur mise en conformité et les particuliers dans l'exercice de leurs droits.
Elle ne se place en autorité de sanction que dans les hypothèses de manquement les plus graves. Sa démarche est d'avant tout suggérer aux acteurs les bonnes pratiques et les actions à mener pour se rapprocher de la conformité.
Des interrogations subsistent sur votre conformité RGPD ? Le logiciel RGPD Leto vous accompagne à chaque étape. N'hésitez pas à nous contacter pour échanger !
Questions fréquemment posées sur la CNIL
Qu'est-ce que la CNIL et quel est son rôle ?
La CNIL (Commission Nationale de l'Informatique et des Libertés) est l'autorité française indépendante chargée de veiller à la protection des données personnelles. Créée en 1978, elle a 5 missions principales : informer les citoyens et professionnels, accompagner la conformité RGPD, anticiper les évolutions technologiques, contrôler les organismes et sanctionner les manquements. Depuis 2025, elle régule également l'intelligence artificielle (AI Act).
Quelle est la différence entre la CNIL et le RGPD ?
Le RGPD (Règlement Général sur la Protection des Données) est un texte de loi européen qui définit les règles de protection des données personnelles. La CNIL est l'autorité française qui fait appliquer ce règlement en France. En résumé : le RGPD est la loi, la CNIL est le gendarme qui la fait respecter. La CNIL peut contrôler les entreprises et prononcer des sanctions jusqu'à 20 millions d'euros ou 4% du CA mondial.
Est-ce qu'un particulier peut saisir la CNIL ?
Oui, tout particulier peut saisir la CNIL gratuitement. Vous pouvez déposer une plainte si une entreprise ou un organisme ne respecte pas vos droits sur vos données personnelles : refus d'accès à vos données, impossibilité de vous désinscrire d'une newsletter, vidéosurveillance abusive, etc. La saisine se fait en ligne sur cnil.fr. En 2024, la CNIL a reçu plus de 15 000 plaintes de particuliers.
Comment faire un signalement à la CNIL ?
Pour signaler un problème à la CNIL : 1) Rendez-vous sur cnil.fr/fr/plaintes, 2) Créez un compte ou connectez-vous, 3) Décrivez votre problème et joignez les preuves (emails, captures d'écran), 4) Soumettez votre plainte. La CNIL accuse réception et peut mener une enquête. Avant de saisir la CNIL, il est recommandé de contacter d'abord l'organisme concerné pour tenter de résoudre le problème.
