Bilan RGPD 2025 : sanctions, IA et nouvelles priorités pour les DPO
Article RGPD
2025 a marqué un tournant en matière de protection des données personnelles. Non pas par une refonte du RGPD, mais par une accumulation de signaux forts : sanctions ciblées, nouvelles réglementations applicables, explosion des usages de l’IA et la multiplication des incidents liés aux prestataires.
Pour beaucoup d’organisations, cette année a mis en lumière une réalité inconfortable : être conforme ne suffit plus, il faut pouvoir le démontrer, en continu.
Retour sur les événements marquants de 2025, les principaux points de vigilance qu’ils ont révélés, et comment les DPO peuvent concrètement s’y préparer.
1. Des sanctions toujours plus pédagogiques… et plus ciblées
En 2025, la CNIL a confirmé une tendance de fond : les sanctions ne visent plus uniquement des manquements “spectaculaires”, mais des défaillances organisationnelles durables.
Une majorité des décisions publiées concernent :
la gestion des droits des personnes,
la durée de conservation excessive,
des mesures de sécurité jugées insuffisantes.
Des montants parfois modérés, mais des décisions très détaillées, explicitement pédagogiques.
2. IA et données personnelles : la fin de l’approximation
L’entrée en application progressive de l’AI Act a accéléré la prise de conscience : l’IA n’est plus un sujet “tech” ou “innovation”, mais un sujet de conformité transverse.
Selon plusieurs baromètres sectoriels, plus d’une entreprise sur deux utilise déjà des outils d’IA générative impliquant des données professionnelles.
Dans de nombreux cas :
aucune cartographie formelle,
aucune analyse d’impact spécifique,
une méconnaissance des données réellement injectées.
Exemple concret : Un service RH a utilisé un outil d’IA pour trier des candidatures, sans savoir que les données étaient conservées hors UE et réutilisées pour entraîner le modèle.
Comment s’y préparer
lancer une cartographie des usages IA réels, y compris “shadow IA” ;
intégrer l’IA dans le registre des traitements et les AIPD ;
former les équipes métiers sur les risques concrets, pas uniquement juridiques.
3. Sous-traitants et partenaires : le maillon faible persistant
Les violations de données impliquant des prestataires restent, en 2025, l’une des principales causes d’incidents déclarés.
Des contrats RGPD conformes sur le papier, mais :
jamais réévalués,
jamais audités,
parfois obsolètes face aux nouveaux usages (cloud, IA, externalisation).
Exemple concret : Un incident de sécurité chez un prestataire IT entraînant une violation de données, alors même que le contrat RGPD n’avait pas été mis à jour depuis plus de 5 ans.
Exemple concret : Une demande de droit d’accès traitée par le service client sans consultation du DPO, aboutissant à une réponse partielle… et à une plainte.
Ce que l’on peut parfois manquer
Le rôle clé de la formation des équipes opérationnelles.
L’impact réputationnel de ces manquements.
Comment s’y préparer
cartographier les circuits internes de traitement des demandes ;
tester les procédures via des “exercices à blanc” ;
former régulièrement les équipes en contact avec les personnes concernées.
Lien vers des décisions CNIL similaires :
16 sanctions via procédure simplifiée (incluant défaut de coopération et droits) :
5. 2025 : une année charnière pour la fonction DPO
Les événements de 2025 confirment une évolution profonde : le DPO devient un acteur central de la gouvernance des données, au croisement du juridique, de l’IT, des métiers et de la stratégie.
Anticipation réglementaire, priorisation des risques, accompagnement du changement : le rôle se renforce… mais nécessite plus que jamais du soutien, des outils et du temps.
Pourquoi choisir un DPO externe ? 5 bénéfices clés pour votre entreprise
Depuis l’entrée en application du RGPD, de nombreuses organisations sont tenues de désigner un Délégué à la Protection des Données (DPO). Lorsqu’elles ne disposent pas des ressources ou compétences nécessaires en interne, elles peuvent faire appel à un DPO externe.
Mais qu’est-ce qu’un DPO externe exactement ? À quoi sert-il ? Combien coûte-t-il ? Et comment bien le choisir ?
Cookies : la CNIL inflige 750 000 € d’amende à vanityfair.fr
Le 20 novembre 2025, la CNIL a prononcé une amende de 750 000 € à l’encontre de Les Publications Condé Nast, éditeur notamment du magazine en ligne Vanity Fair, pour des manquements graves aux obligations de consentement et d’information liées aux traceurs déposés sur le site vanityfair.fr.
Recevez nos actualités, billets et nouvelles formations, directement dans votre boîte mail.
Pour plus d’information sur le traitement de vos données personnelles ou exercer vos droits, merci de prendre connaissance de notre Politique de confidentialité ou contactez notre DPO à l’adresse [email protected].
Télécharger la brochure
En 1 clic, je reçois la plaquette commerciale !
Dans le cadre de sa démarche d’accompagnement, Actecil vous propose de vous envoyer directement par email notre plaquette commerciale. Simple et efficace, en quelques clics, le document est dans votre boîte email.
