Un volume qui ne ressemble plus à celui d’avant Plus de 6 100 violations de données ont été notifiées à la CNIL en 2025. Le chiffre interpelle. Mais ce n’est pas vraiment le volume qui change la donne ici, c’est la nature des incidents. On ne parle plus d’événements isolés qui touchent quelques milliers de personnes. On parle désormais de violations massives, parfois plusieurs millions d’individus concernés d’un coup, et qui frappent tous les secteurs d’activité sans distinction. Une fuite qui concernait hier un public restreint peut aujourd’hui exposer une part significative de la population française. Ça change la nature même du risque pour les organisations qui détiennent ces données. Des faiblesses connues, jamais corrigées Ce qui frappe le plus dans ce rapport, ce n’est pas la sophistication des attaques. C’est le niveau d’exposition. Mots de passe faibles, accès mal protégés, comptes dormants, privilèges excessifs : ces failles reviennent sans cesse. Les comptes à privilèges restent l’un des points de fragilité les plus fréquents identifiés par la CNIL. Et quand un attaquant en compromet un, les conséquences peuvent être considérables. Le constat est presque banal à force d’être répété, mais il continue de produire des incidents majeurs. Quelques vulnérabilités connues, jamais corrigées, suffisent souvent à ouvrir la voie à une compromission complète. La CNIL change de logique : démontrer, pas seulement déclarer Il y a un glissement dans les attentes du régulateur. La CNIL ne se contente plus de demander des mesures de sécurité. Elle veut des preuves. Que ça marche, que ça tienne dans le temps, que ce soit cohérent d’un bout à l’autre. La cybersécurité devient un sujet de gouvernance à part entière. Au même rang que la conformité. Ou la gestion des risques. Protection des données et cybersécurité, ce n’est plus vraiment deux sujets dans cette logique. Même objectif : garder la confiance des clients, des collaborateurs, des partenaires. Ce que ça implique pour les organisations Numérisation croissante, valeur économique des données, cybercriminalité qui s’industrialise. Ces facteurs se cumulent. Et expliquent une bonne partie de l’ampleur du phénomène. Les organisations qui veulent répondre aux attentes de la CNIL doivent documenter, pas juste réagir après coup. Une démarche continue d’évaluation, d’amélioration. Pas une mise en conformité ponctuelle qu’on range dans un dossier une fois faite. Les questionnaires assureurs, les appels d’offres, les audits internes posent déjà ce genre de questions. Y répondre avec des preuves documentées, plutôt qu’avec de bonnes intentions, devient la nouvelle norme.
