Dans sa plaquette « Cybersécurité » édition 2026, la CNIL fait le point sur les violations de données personnelles notifiées en 2025 : 6 167 au total, soit près de 16 par jour.

Une violation désigne tout incident de sécurité, malveillant ou non, qui compromet la confidentialité, l’intégrité ou la disponibilité de données personnelles. 94 % des notifications concernent une perte de confidentialité, et le piratage représente 50 % du total.

Les rançongiciels, en forte progression, sont à l’origine de 539 notifications (9 %), et 10 % des violations viennent d’incidents survenus chez huit sous-traitants.

Le RGPD impose de documenter chaque violation, de notifier la CNIL sous 72 heures en cas de risque pour les personnes et de les informer lorsque ce risque est élevé, sous peine d’une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires.

La CNIL vérifie la sécurité dans chacun de ses plus de 300 contrôles annuels, et 23 sanctions de 2025 comportaient au moins un manquement en la matière.

Parmi les failles les plus fréquentes figurent des données accessibles en modifiant simplement une URL, des mots de passe non conformes ou transmis en clair, des connexions non chiffrées, l’absence de verrouillage automatique des sessions et l’absence de tests avant la mise en production d’un nouvel outil.

Le document présente aussi les ressources dédiées aux TPE/PME.