Les contrôles de la CNIL en 2025 : applications mobiles, administration pénitentiaire, cybersécurité des collectivités
Environ un quart des contrôles de la CNIL s’inscrit dans le cadre de thématiques prioritaires annuelles qu’elle définit. En 2025, elle se concentrera sur les données collectées via les applications mobiles, la cybersécurité des collectivités territoriales ainsi que les traitements de données par l’administration pénitentiaire.
La CNIL conduit des centaines de contrôles par an (321 en 2024) qui font suite à des plaintes, de précédentes mesures correctrices, des signalements de violations de données ou sont en lien avec l’actualité.
En 2025, la CNIL se concentrera sur les données collectées par le biais des applications mobiles, la cybersécurité des collectivités territoriales ainsi que les traitements de données par l’administration pénitentiaire.
Les thématiques de contrôles prioritaires en 2025
Collecte de données par le biais des applications mobiles
Les Français téléchargent désormais une trentaine d'applications mobiles par an. Elles sont devenues le premier usage numérique au quotidien et sont ainsi une source de traitement massif de données personnelles (bancaires, de géolocalisation, publicitaires, etc.).
Dans le prolongement de la publication de sa recommandation sur les applications mobiles en octobre dernier et comme elle l’avait annoncé, la CNIL mènera cette année une série de contrôle des différents acteurs de l'écosystème, en particulier des éditeurs d'applications et des fournisseurs de kits de développement logiciel (SDK).
Les vérifications porteront essentiellement sur les questions abordées dans la recommandation, notamment le paramétrage des SDK ainsi que les accès aux données du téléphone via la gestion des permissions (ou « autorisations).
Ces contrôles concerneront aussi bien les acteurs privés que publics, notamment au regard de la multiplication des services publics proposant une application mobile pour des tâches administratives du quotidien.
Cybersécurité des collectivités territoriales
La cybersécurité fait partie des axes majeurs du plan stratégique 2025-2028 de la CNIL. Ces dernières années ont en effet été marquées par de nombreuses cyberattaques impliquant une grande partie de la population. La CNIL a ainsi reçu 5 629 notifications de violation en 2024, soit 20 % de plus qu’en 2023. Face aux risques de vol de données personnelles, notamment bancaires ou de santé, la cybersécurité est un réel enjeu de société.
Parmi les acteurs concernés, les collectivités territoriales sont particulièrement vulnérables. Or, ces dernières traitent un grand nombre de données, pour certaines sensibles (gestion de l’état civil des usagers, versement de prestations sociales, données financières, ou encore services en ligne de paiement de contravention).
La CNIL a donc décidé de contrôler les mesures mises en œuvre par les collectivités territoriales afin de protéger les données des usagers. En parallèle de ces contrôles, la CNIL va continuer à renforcer son action en vue de sensibiliser et d’accompagner les collectivités territoriales en matière de cybersécurité.
Par cette double action, la CNIL souhaite aussi préparer l’entrée en application de la directive NIS2, en cours de transposition, qui prévoit une montée en compétences et des exigences nouvelles pour les collectivités territoriales en matière de sécurité informatique
Données traitées par l’administration pénitentiaire
D’après le ministère de la Justice, 77 800 personnes sont aujourd’hui en détention en France. L’ensemble des informations relatives aux personnes faisant l’objet d’une mesure restrictive ou privative de liberté sont répertoriées au sein du traitement informatisé de « Gestion nationale des personnes écrouées pour le suivi individualisé et la sécurité » (« GENESIS »). Il contient notamment des informations particulièrement sensibles liées à la gestion de la vie en détention et la réinsertion de ces personnes.
Par ailleurs, les établissements pénitentiaires doivent veiller de manière accrue à la sécurisation de leurs installations informatiques et des moyens de communication qui y sont déployés.
Lors de ses investigations, la CNIL vérifiera ainsi les conditions de traitement des données des personnes incarcérées ainsi que l’ensemble des mesures de sécurité mises en place par les établissements.
Droit à l’effacement
Dans le cadre de la quatrième action du cadre d’application coordonné (coordinated enforcement framework), La CNIL et ses homologues européens vont procéder à des vérifications sur les conditions de mise en œuvre du droit à l’effacement. Cette action vise à harmoniser l’application effective du RGPD et la coordination entre les autorités de contrôle.
