La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié son bilan pour l'année 2025, détaillant les sanctions et mesures correctrices prononcées, principalement relatives aux témoins de connexion, à la surveillance des salariés et à la sécurité des données.

En 2025, la CNIL a pris 259 décisions, dont 83 sanctions et 143 mises en demeure, pour un montant total d'amendes s'élevant à 486 839 500 euros. Parmi les sanctions, 16 ont été prononcées par la formation restreinte et 67 via la procédure simplifiée, incluant 78 amendes dont 27 avec injonctions sous astreinte. Quatre décisions ont été adoptées en coopération avec les homologues européens de la CNIL, qui a par ailleurs examiné 9 projets de décision d'autres autorités concernant des résidents français.

Concernant les témoins de connexion et autres traceurs, 21 organismes ont été sanctionnés pour des manquements tels que le dépôt sans consentement, une information insuffisante ou l'absence de prise en compte du refus de l'utilisateur. La formation restreinte a notamment prononcé deux amendes de 325 millions et 150 millions d'euros à l'encontre de deux acteurs majeurs, soulignant que les règles applicables ne pouvaient être ignorées.

Seize organismes ont été sanctionnés pour non-respect des règles encadrant la vidéosurveillance des salariés. La surveillance vidéo permanente des employés, comme le filmage en continu des postes de travail ou des caisses, a été jugée non conforme, de même que l'usage de caméras dissimulées en dehors de circonstances exceptionnelles justifiant un équilibre entre sécurité et vie privée.

La formation restreinte a également sanctionné des sous-traitants pour le non-respect de leurs obligations, leur rappelant la nécessité de mettre en œuvre des mesures de sécurité appropriées, de ne traiter les données que sur instruction du responsable de traitement et de les supprimer à la fin de la relation contractuelle.

Dans le cadre de la procédure de sanction simplifiée, les motifs récurrents ont été la sécurisation insuffisante des données (14 organismes), l'absence de coopération avec la CNIL (14 organismes) et le non-respect des droits des personnes (14 organismes). Dix décisions ont également concerné la prospection commerciale ou politique, rappelant l'exigence du consentement pour la prospection directe ou la transmission de données à des partenaires.

Enfin, 143 mises en demeure ont été adressées, visant notamment le secteur de l'aide sociale à l'enfance pour des manquements sur la conservation des données et la sécurité. D'autres ont concerné des sites web pour non-respect du consentement aux témoins de connexion et des applications mobiles destinées aux mineurs, sommées de renforcer le contrôle de l'âge et la transparence.