La CNIL dévoile les thématiques de contrôles prioritaires pour 2025

Après 321 contrôles effectués en 2024, la CNIL a décidé de se concentrer, en 2025, sur les données collectées par le biais des applications mobiles, la cybersécurité des collectivités territoriales ainsi que les traitements de données par l’administration pénitentiaire.

Autorité administrative indépendante, la CNIL peut contrôler les organismes à la suite de plaintes qu’elle reçoit, de signalements qui lui sont faits, ou parce qu’elle décide de se saisir d’un cas particulier. Tout manquement constaté lors du contrôle peut entraîner une mise en demeure décidée par son président ou le prononcé de différentes mesures et sanctions par sa formation restreinte.

La collecte de données par le biais des applications mobiles

Premier usage numérique au quotidien, les applications mobiles concentrent un volume important de données personnelles (données bancaires, géolocalisation, etc.). Dans le prolongement de sa recommandation publiée en octobre 2024, la CNIL contrôlera les différents acteurs de ce marché, tant publics que privés, lesquels incluent notamment les éditeurs d’applications comme les fournisseurs de kits de développement logiciel (SDK). Ces contrôles se concentreront sur les vérifications abordées au sein de la recommandation : paramétrage des SDK, accès aux données du téléphone, etc.

La cybersécurité des collectivités territoriales

Avec 5629 notifications de violation en 2024, la cybersécurité s’est rapidement imposée comme l’un des enjeux principaux de notre société avec une forte augmentation des cyberattaques. En raison de leur particulière vulnérabilité, les collectivités territoriales, qui traitent une masse importante de données personnelles - dont certaines sensibles -, feront l’objet de contrôles de la CNIL en 2025 afin de protéger les usagers. Ces contrôles s’accompagneront d’actions de sensibilisation pour les préparer à l’entrée en application de la directive NIS2.

Les données traitées par l’administration pénitentiaire 

Contenant des informations particulièrement sensibles liées à la gestion de la vie en détention et la réinsertion de ces personnes, le traitement informatisé GENESIS (Gestion nationale des personnes écrouées pour le suivi individualisé et la sécurité) fait l’objet d’une vigilance accrue. A cet égard, les établissements pénitentiaires doivent garantir la solidité de leurs infrastructures informatiques et des moyens de communication déployés. Cette année, la CNIL veillera à la conformité des traitements des données des personnes incarcérées ainsi qu’au respect de l’ensemble des mesures de sécurité mises en place par les établissements.

Le droit à l'effacement

Conformément à l’article 17 du RGPD, la personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs limitativement énumérés par le texte s’applique (données utilisées à des fins de prospection, retrait du consentement, traitement illicite, etc.). Le droit à l’effacement est l’un des droits les plus fréquemment exercés et fait l'objet d'une part très importante des plaintes reçues par la CNIL (37 % en 2024), et plus largement par ses homologues européens.

En 2025, la CNIL et ses homologues européens vont vérifier les conditions de mise en oeuvre du droit à l’effacement, conformément à la quatrième action du cadre d’application coordonné (coordinator enforcement framework) afin d’harmoniser l’application du RGPD par les différents Etats européens.

Pour de plus amples informations sur le projet de recommandation de la CNIL, rendez-vous ici.

Les offres RGPD / DPO d'Altij & Oratio Avocats : Un accompagnement sur mesure

Altij & Oratio Avocats propose des services spécialisés pour accompagner les entreprises dans leur mise en conformité avec le RGPD. Que vous soyez une ETI, une PME ou une organisation à la recherche d'un soutien personnalisé, Altij & Oratio Avocats met à votre disposition des avocats experts dans le domaine de la cybersécurité et de la protection des données.

En tant que DPO (Délégué à la Protection des Données) externalisé, Altij & Oratio Avocats offre un accompagnement complet pour garantir la conformité de vos activités aux exigences du RGPD.

Formations Trust by Design : Se préparer aux enjeux futurs de la cybersécurité

Pour anticiper les évolutions réglementaires et comprendre les nouveaux enjeux en matière de cybersécurité,  Trust by Design propose des formations adaptées aux entreprises souhaitant renforcer leur stratégie de gestion des risques. Ces formations permettent aux participants de mieux appréhender les défis liés à la sécurité numérique, d'identifier les risques potentiels et de connaître les réglementations spécifiques à leur secteur d'activité.

L'essor de l'intelligence artificielle engendre de nouvelles problématiques liées aux risques cyber. Ces enjeux nécessitent des réponses techniques et juridiques adaptées, ainsi que des obligations légales et réglementaires en matière de sécurité et de résilience. C'est l'objectif de notre formation Intelligence Artificielle et Cybersécurité :

• Comprendre les obligations légales et réglementaires en matière de sécurité et de résilience.
• Intégrer les obligations de sécurité dans les différentes phases d’un projet IA.
• Anticiper et gérer les enjeux de mise en conformité.
• Développer une approche globale de la cybersécurité appliquée aux projets IA.

Pour en savoir plus sur les formations et leur programme, rendez-vous ici.