6 167 violations de données notifiées à la CNIL en 2025 : l’état des lieux que personne n’agrège

Panorama

Un mail vous prévient que vos données « ont pu être exposées », et vous le classez sans y penser. Pris un par un, ces incidents ressemblent à du bruit de fond. Mis bout à bout, ils racontent autre chose : la CNIL a été notifiée de 6 167 violations de données personnelles en 2025, un record, en hausse de 9,5 % sur un an. Ce n’est plus l’accident isolé que l’on traite au cas par cas, c’est un régime permanent, et un signalement sur deux vient désormais d’un piratage.

Un record qui ne retombe pas

Le chiffre a battu son propre plafond. Dans son rapport annuel 2025, publié le 18 mai 2026, la CNIL indique avoir été notifiée de 6 167 violations de données sur l’année, soit 9,5 % de plus qu’en 2024. L’année précédente avait déjà établi un record avec 5 629 notifications ; il a été dépassé.

Ce que ces notifications mesurent est simple : chaque fois qu’un organisme constate une fuite susceptible de porter atteinte à vos données, il doit prévenir l’autorité. Le compteur ne dit donc pas tout ce qui se produit, il dit ce qui est déclaré. Et cette courbe déclarée grimpe, portée par des attaques de plus en plus massives et par une prise de conscience des entreprises.

Un piratage derrière un incident sur deux

La nature des incidents s’est durcie. Comme les années précédentes, le piratage reste la cause la plus fréquente et atteint 50 % des signalements en 2025, un chiffre confirmé par le média spécialisé Next qui parle d’un record de fuites. Rançongiciel, hameçonnage, vol d’identifiants réutilisés ailleurs : les modes opératoires se professionnalisent.

Le reste du tableau reste très humain. Près de 13 % des signalements viennent d’un envoi de données au mauvais destinataire, 7 % d’un vol ou d’une perte de matériel, et 7 % d’une publication non intentionnelle. Autrement dit, une part des fuites n’a rien d’une cyberattaque : c’est une pièce jointe partie à la mauvaise adresse.

La CNIL relève aussi un ciblage plus fin des attaques. L’année 2025 a été marquée par une série de vols visant les clients d’un même éditeur de logiciel de gestion de la relation client, et par des attaques ayant frappé plusieurs fédérations sportives françaises. Un fournisseur fragilisé, et ce sont des dizaines d’organismes qui basculent d’un coup, ce qui explique en partie la bascule vers des fuites plus massives.

La leçon du graphique tient en une phrase : la malveillance domine, mais l’erreur ordinaire pèse encore un signalement sur quatre. C’est ce mélange que les chiffres bruts de l’année résument ci-dessous.

487 millions d’euros d’amendes, un record aussi

La réponse du régulateur a changé d’ordre de grandeur. En 2025, la CNIL a mené 323 contrôles et prononcé 83 sanctions, pour un total proche de 487 millions d’euros, un montant inédit pour l’institution. Deux dossiers, Google et Shein, pèsent à eux seuls 475 millions de cette somme, mais l’autorité a aussi multiplié les amendes plus modestes contre des entreprises de toutes tailles.

Surtout, la cybersécurité s’installe au cœur de son activité. Les manquements à la sécurité des données représentent désormais un tiers des contrôles et près de 30 % des sanctions. Les 20 150 plaintes reçues en 2025, en hausse de 10 %, en portent la trace : environ 1 900 d’entre elles concernent directement des violations de données.

L’État n’est pas épargné

La donnée la plus inconfortable concerne le service public. Selon le rapport, le secteur de l’administration publique représente 19 % des violations signalées à la CNIL, une part que l’autorité lie à une érosion du lien de confiance entre l’État et les citoyens. Difficile de lui donner tort : rappelez-vous la sanction de 5 millions d’euros infligée à France Travail après une fuite qui avait touché près de 37 millions de personnes, avant une nouvelle fuite de 1,6 million de comptes fin 2025.

Ce basculement vers des fuites de masse change la focale. On ne parle plus vraiment de l’incident isolé comme la fuite PuffPal, que l’on traite d’ordinaire un à un, mais d’une mécanique où un seul maillon fragilisé expose des centaines de milliers de dossiers. « Personne n’est épargné ; les violations sont de plus en plus massives ; elles impliquent souvent des prestataires », résume la présidente de la CNIL, Marie-Laure Denis.

Ce que ça change pour vous, une fois notifié

Recevoir un mail de notification n’est pas anodin, mais ce n’est pas non plus une fatalité. Le premier réflexe utile est de changer le mot de passe du service concerné et tout mot de passe identique réutilisé ailleurs, puis d’activer la double authentification quand elle existe. La CNIL recommande aussi de rester attentif, dans les semaines qui suivent, aux tentatives d’hameçonnage qui exploitent justement ces bases volées, dans le même esprit que ses six réflexes face aux objets connectés.

La bascule d’échelle est désormais assumée du côté du régulateur. Après deux années de fuites d’ampleur, la CNIL annonce consacrer 50 % de ses contrôles et de ses actions répressives à la sécurité des données en 2026, contre un quart à un tiers l’an dernier. Pour vous, la vraie nouvelle n’est pas un incident de plus, c’est que la fuite est devenue un risque de fond, avec lequel il faut apprendre à vivre comme on verrouille sa porte.

Méthode : chiffres issus du rapport annuel 2025 de la CNIL (données de l’année 2025, publié le 18 mai 2026), complétés par la reprise détaillée du média Next. Les pourcentages de nature d’incident et la part de l’administration publique sont ceux cités par l’autorité. Limites : ces données comptent les violations notifiées, pas l’ensemble des fuites réelles ; le nombre de personnes réellement affectées n’est pas totalisé par la CNIL.

Questions courantes

Combien de violations de données ont été notifiées à la CNIL en 2025 ?
6 167 violations, un record, en hausse de 9,5 % par rapport à 2024, où l’autorité avait recensé 5 629 notifications.

Quelle est la principale cause de ces fuites ?
Le piratage, présent dans un signalement sur deux. Viennent ensuite l’envoi à un mauvais destinataire (13 %), le vol ou la perte de matériel (7 %) et la publication non intentionnelle (7 %).

Que faire quand on reçoit un mail de notification de fuite ?
Changer le mot de passe concerné et tous ceux qui lui sont identiques, activer la double authentification, et se méfier des tentatives d’hameçonnage qui suivent souvent ce type de fuite.

Les services publics sont-ils concernés ?
Oui. L’administration publique représente 19 % des violations signalées, et la CNIL a sanctionné des acteurs publics comme France Travail après des fuites de grande ampleur.

Article créé en collaboration avec l’IA.