Plus de 6 100 violations de données notifiées en 2025. Ce chiffre seul résume le rapport annuel de la CNIL, mais il ne dit pas tout. Le vrai signal n’est pas dans le volume. Il est dans la nature des incidents. Un changement d’échelle, pas seulement de volume Les organisations ne font plus face à des fuites isolées touchant quelques milliers de comptes. Le rapport décrit des violations massives, certaines concernant plusieurs millions de personnes, qui traversent désormais tous les secteurs d’activité. Une fuite qui ne menaçait hier qu’une poignée de clients peut aujourd’hui exposer une part significative de la population française en une seule fois. C’est ce changement d’échelle qui pousse la CNIL à parler de transformation structurelle, pas de simple accélération statistique. Des causes qui n’ont rien de nouveau Mots de passe faibles. Comptes dormants jamais désactivés. Privilèges excessifs accordés sans révision. Les comptes à privilèges restent le point de fragilité numéro un identifié par le régulateur. Quand un attaquant en compromet un, l’accès qu’il obtient dépasse largement ce qu’un compte standard aurait permis. Pas besoin de sophistication technique poussée pour exploiter ça. Une faiblesse connue depuis des mois, jamais corrigée, suffit souvent à ouvrir la porte. La CNIL durcit ses attentes Ce qui change vraiment, c’est l’attente du régulateur. La CNIL ne se contente plus de vérifier que des mesures de sécurité existent sur le papier. Elle veut une démonstration de leur pertinence, de leur cohérence, et surtout de leur efficacité dans le temps. La cybersécurité devient un sujet de gouvernance à part entière, au même rang que la conformité ou la gestion des risques. Plus question de la traiter comme un chapitre technique isolé, géré uniquement par la DSI. L’intelligence artificielle générative complique encore le tableau. Dans la quasi-totalité des organisations, des collaborateurs utilisent déjà des outils d’IA générative au quotidien. Souvent sans que les équipes sécurité ou conformité en aient pleinement connaissance. Quelles données partagent-ils avec ces services ? Quels risques ça crée concrètement ? La CNIL ne cherche pas à freiner ces usages, mais elle attend des organisations qu’elles soient capables d’identifier les services utilisés et les données qui transitent par eux. Ce que ça change concrètement pour les DPO et RSSI Documenter ne suffit plus : il faut pouvoir prouver, en cas de contrôle, que les comptes à privilèges sont audités régulièrement, que les accès dormants sont désactivés selon une procédure établie, et que les usages d’IA générative font l’objet d’une cartographie minimale. Les questionnaires d’audit, les appels d’offres et les exigences assurantielles intègrent déjà ces critères. Les organisations qui n’auront pas formalisé cette démonstration avant le prochain contrôle CNIL partent avec un désavantage difficile à rattraper en urgence.
