Nombre "record" de violations de données en 2025, en hausse de près de 10%, selon la Cnil

L’année 2025 a connu un nombre « record » de violations de données en France, a annoncé lundi l’autorité protectrice de la vie privée, la Cnil, qui va renforcer en 2026 ses contrôles et sanctions concernant la sécurisation des données.

La Commission nationale de l’informatique et des libertés a enregistré l’an dernier 6.167 notifications de violations de données, soit 9,5% de plus qu’en 2024, son plus haut niveau jamais comptabilisé selon son rapport annuel.

La moitié de ces fuites de données sont liées à des piratages et visent en particulier des secteurs comme l’administration publique, la santé et les activités financières et d’assurance, est-il détaillé dans le rapport.

En 2026, la tendance s’accélère puisque l’autorité a déjà relevé plus de 2.730 violations de données sur le seul premier trimestre.

Ces derniers mois, les fuites de données d’ampleur significative se sont multipliées, concernant aussi bien des fédérations sportives, des chaînes d’hôtels ou l’Agence nationale des titres sécurisés (ANTS).

« Personne n’est épargné », souligne Marie-Laure Denis, la présidente de la Cnil, « les violations sont de plus en plus massives » et « impliquent souvent des prestataires », plus vulnérables car « de taille plus modeste » et dotés de systèmes de sécurité parfois moins performants.

Pour la patronne de l’institution, cette accélération s’explique par le fait que « ces attaques sont rentables, les données ont de la valeur, comme par exemple les données de santé ».

Selon elle, « le développement de l’intelligence artificielle automatise, industrialise et démocratise les attaques » tout en « permettant de les personnaliser en recoupant les données ».

Par conséquent, « les contrôles de la Cnil et les conséquences répressives possibles en matière de cybersécurité vont fortement s’accentuer en 2026 », a-t-elle averti, notamment envers les bases de données qui réunissent plus d’un million de personnes.

Celles-ci ont fait l’objet d’une quarantaine de violations en 2025, soit dix de plus que l’année précédente.

Ce bilan 2025 ne tient pas compte des cyberattaques qui ont visé les logiciels de Weda en novembre (pour les professionnels de santé) et de Harvest en février (pour les professionnels du conseil patrimonial), qui ont entrainé à elles seules plus de 11.600 notifications de différentes entreprises clientes auprès de la Cnil, alors qu’il s’agissait d’un même incident, a précisé l’organisme.

kf/jlo/frd/