80 % des violations de données auraient pu être évitées, déplore la présidente de la CNIL
RGPD comme un cap
Auditionnée à l’Assemblée, la présidente de la CNIL souligne l’accroissement « sans précédent » de ses missions et du volume de ses activités, alors que son budget est « resté stable ». Elle estime que le nombre de violations de données (« près de 6 000 » en 2024) « devrait au moins doubler en 2025 », mais également que 80 % auraient pu être évitées avec l’authentification multifacteur.
Régulièrement taxé de laxisme, notamment depuis la réapparition de la place de marché (noir) BreachForums en décembre dernier, et l’annonce de très nombreuses violations de données en 2025, le « gendarme des données personnelles » peine à faire respecter son code de la route.
La CNIL a en effet reçu « près de 6 000 » notifications de violations de données en 2024, « soit 20 % de plus qu’en 2023, et ce chiffre devrait au moins doubler en 2025 », a déclaré Marie-Laure Denis, présidente de la CNIL, lors de son audition à la commission des lois de l’Assemblée, mi-décembre :
« L’intensification de cette menace se reflète aussi dans l’ampleur des violations, qui touche désormais des secteurs de taille importante, dont certains interviennent dans la vie quotidienne des Français – France Travail, certaines fédérations sportives, ou encore des opérateurs de téléphonie. »
« Indépendamment de l’augmentation du nombre de violations de données (+ 20 %) nous sommes préoccupés par l’augmentation du nombre de personnes concernées » ainsi que, pour les entreprises, par le « risque de devoir cesser leur activité », poursuivait-elle : « Il ne faut vraiment pas minimiser les conséquences de ces sujets. D’ailleurs, le sujet de la cybersécurité représente l’un des axes stratégiques de la CNIL pour la période 2025 - 2028 ».
« Nous agissons en amont, en imposant par exemple l’authentification multifacteurs pour les accès à distance aux grandes bases de données dès le 1er janvier 2026 », précisait-elle : « nous estimons que 80 % des grandes violations de 2024 auraient pu être évitées avec cette mesure », qu’elle avait déjà qualifiée d’ « élémentaire » dans son rapport 2024.
Les équipes de la CNIL agissent aussi « pendant les violations, en apportant des conseils de premier niveau aux personnes, aux sociétés, aux administrations qui nous notifient une violation de données, en tout cas pour celles qui ne sont pas en lien avec l’Anssi » :
« Nous transmettons, le cas échéant, ces informations au parquet compétent. Enfin, nous sanctionnons : 15 % des sanctions prononcées par la CNIL qui comportent au moins un manquement à des obligations de sécurité et six dossiers importants de manquement à la sécurité ont été transmis à notre formation restreinte pour des décisions attendues au premier semestre 2026. »
Un budget « resté stable » malgré un « accroissement sans précédent » de ses missions
La présidente de la CNIL relevait également que « son budget est resté stable entre 2024 et 2025, et le nombre de ses agents a peu varié », alors que, et au-delà de cette explosion des notifications de violations de données, ses missions ont, dans le même temps, « connu un accroissement sans précédent, principalement en raison de textes européens ».
Commentaires (15)
Le 27/01/2026 à 09h13
Quand tu passes ton temps à entendre "non", "pas le budget", "pas le temps", "ça sera dans un prochain lot" (qui ne verra jamais le jour), pour moi y'a rien d'étonnant à ce que les entreprises tombent toutes une par une.
Le 27/01/2026 à 09h13
Le 27/01/2026 à 09h22
Le truc qui me parait incroyable aussi dans cet histoire, c'est le financement de la CNIL. C'est un des rares services qui pourrait s'autofinancer sans aucun problème (=ne coûtant rien aux contribuables) tout en rapportant de l'argent à l'Etat (et pas qu'un peu).
Mais non, continuons de lui donner de plus en plus de mission, sans augmenter ses moyens...
Le 27/01/2026 à 10h27
Si c'était le cas, cela se saurait, nous n'aurions plus de viol, ni de violence qui est condamné dans tous les pays.
Par contre, ton argument sur le financement de la CNIL est mauvais. Que dirais-tu si les infractions au code de la route permettait de financer la police ?
On ne peut donner au contrôleur le fruit de ses contrôles, sinon cela revient à autoriser la corruption comme à l'époque des collecteurs d'impôts des livres d'histoire.
Il faut certainement augmenter ses moyens mais quand on décide de financer la défense, il faut faire des choix.
Le 27/01/2026 à 10h43
Au final, la CNIL est une institution qui peut rapporter beaucoup plus que ce qu'elle coûte (c'était ce que j'entendais par "autofinancer"). Ne pas augmenter son budget de fonctionnement est donc incompréhensible à mes yeux.
Modifié le 27/01/2026 à 19h15
C'est un équilibre plutôt complexe à trouver, et il ne faut pas regarder la simple valeur du chiffre d'affaires ni se faire avoir par un effet de loupe sur les grands groupes qui défilé l'année dernière et continuent la valse cette année.
Pour reprendre mon propos sur les projets au raz des pâquerettes, ce n'est pas que de l'incompétence. Ce sont aussi des arbitrages : la boîte a beau faire 500 millions d'euros de CA (chiffre au pif), quand elle a 4 millions de pertes, elle est contrainte à des choix.
Hors, parmi ces arbitrages, les exigences non fonctionnelles se voient vite sabrées par une acceptation du risque. L'acceptation de se mettre dans l'illégalité est plus fréquente qu'on peut l'imaginer, d'ailleurs.
Le 27/01/2026 à 19h41
L'indicateur assez fort je trouve, c'est tous les grands groupes, qui ont les moyens de, et qui se font malgré tout condamner pour des choses qui sont pourtant considérées comme étant la base (l'état de l'art).
Quand à la politique du chiffre, j'ai précisé ma pensée dans ce commentaire, car j'avais fais preuve d'une certaine maladresse dans mon premier commentaire.
Ben ça, autant je peux comprendre le besoin d'arbitrage, autant cette justification non. Il y a une réglementation à respecter. Ce n'est pas parce que la société affiche des pertes que l'on peut se permettre un laxisme dans la sécurité et le respect de la réglementation.
Le 27/01/2026 à 20h34
Mais c'est la réalité des entreprises. Même sur de la fisca j'ai vu des arbitrages tout simplement parce que la proba de se faire chopper est faible ou l'amende inférieure au coût de mise en conformité (et j'ai vu passer des chiffrages à coup de 2, 3, voire 500k € - ceux que je vois passer pour la facture électronique titillent la carlingue de l'ISS aussi).
Pourtant, en face, c'est Bercy et pas le baton mou de la CNIL.
Le 29/01/2026 à 09h20
Le discours & les actes.
L'asso-purr en sait quelque chose. Les interviews de Aeris sont très instructives.
Le 27/01/2026 à 09h53
Le 27/01/2026 à 10h45
Modifié le 27/01/2026 à 11h25
Le 27/01/2026 à 17h16
Modifié le 28/01/2026 à 09h22
Et c'est quand même dommage d'être obligé de l'expliquer ici.
J'ai pourtant essayé d'être discret ce matin en signalant le problème par "signaler une erreur" avant le commentaire ci-dessus.
Mais comme vous éprouvez le besoin de vous justifier au lieu de faire profil bas, je me sens obligé de mettre les points sur les i.
J'ai eu toute ma lecture de l'article perturbée à cause de ce sous-titre et pourtant ça fait partie des sujets que j'aime lire !
Pour finir, le nouveau sous-titre ne veut rien dire, sauf peut-être : "je persiste".
Modifié le 27/01/2026 à 18h49
Signaler un commentaire
Voulez-vous vraiment signaler ce commentaire ?