Dans deux communications des 21 et 27 mars, la première sur les contrôles qu'elle mènera en 2025, la seconde sur son programme de travail cette année, la Cnil a annoncé un certain nombre de thématiques prioritaires pour l'année 2025.
La Cnil concentrera, notamment, ses contrôles sur les thématiques suivantes.
La collecte de données par le biais des applications mobiles. La Cnil indique que les Français téléchargent désormais une trentaine d'applications mobiles par an et que ces applications sont devenues une source de traitement massif de données personnelles. Les vérifications de la Cnil porteront sur les différents acteurs de l'écosystème (éditeurs d'applications et fournisseurs de kits de développement logiciel [SDK]) et concerneront le paramétrage de ces kits ainsi que les accès aux données du téléphone via la gestion des permissions. Rappelons que la Cnil a publié une recommandation pour aider les professionnels à concevoir des applications mobiles respectueuses de la vie privée (https://www.cnil.fr/fr/recommandations-applications-mobiles : septembre 2024) et qu'elle avait déjà annoncé, à cette occasion, qu'une campagne spécifique de contrôles serait menée sur ce sujet en 2025.
Le droit à l'effacement, qui permet à une personne de demander à un organisme qu'il supprime ses données personnelles, dans les conditions prévues par le RGPD. La Cnil relève qu'une part importante des plaintes qu'elle reçoit porte sur le respect de ce droit. Ses contrôles auront pour objet de vérifier la manière dont les responsables de traitement traitent et répondent aux demandes d'effacement qu'ils reçoivent, et en particulier comment ils appliquent les conditions et exceptions pour l'exercice de ce droit (Communication du CEPD 5-3-2025 : https://www.edpb.europa.eu/news/news/2025/cef-2025-launch-coordinated-enforcement-right-erasure_fr).
Le droit à l'effacement a été choisi comme thématique d'investigation au niveau européen pour 2025 et les contrôles de la Cnil s'inscriront donc dans une action coordonnée avec les autres autorités de contrôle européennes.
La cybersécurité des collectivités territoriales et les données traitées par l'administration pénitentiaire seront également au cœur des priorités de la Cnil.
Rappelons qu'un quart des contrôles de la Cnil s'inscrit dans le cadre des thématiques prioritaires annuelles qu'elle définit.
En ce qui concerne son programme de travail, la Cnil annonce plusieurs projets de « droit souple ».
Ainsi, elle prévoit de poursuivre ses travaux de clarification relatifs aux systèmes d'IA, de nouvelles fiches devant notamment être publiées sur la mobilisation de l'intérêt légitime, l'application du RGPD aux modèles d'IA, la sécurité et l'annotation (sur les recommandations déjà publiées relatives à l'information et aux droits des personnes, voir BRDA 5/25 inf. 20).
Plusieurs référentiels sont par ailleurs en cours de construction, à des stades plus ou moins avancés, notamment :
un référentiel d'évaluation des sous-traitants est en cours d'élaboration, après une consultation publique qui s'est achevée en février 2025. Ce référentiel devrait faciliter la démonstration de la conformité au RGPD dans un contexte de sous-traitance, une certification devant assurer que les traitements réalisés par le sous-traitant ont été évalués comme conformes aux critères du référentiel ;
un référentiel à destination des banques sur l'octroi du crédit devrait donner lieu à une consultation publique. Ces travaux visent à renforcer la transparence des acteurs dans un contexte où les algorithmes jouent un rôle croissant dans les décisions prises par les établissements financiers ;
deux référentiels « durées de conservation » concernant les activités commerciales et marketing et les ressources humaines sont en cours de finalisation. Ils devraient fournir un outil d'aide à la prise de décision pour le responsable de traitement, en l'orientant vers les durées recommandées par la Cnil ou obligatoires en vertu d'un texte.
Enfin, la Cnil annonce trois projets de recommandations (consentement multiterminaux, pixels dans les courriels et économie des séniors) ainsi que des travaux sur les « dashcams » (caméras embarquées au sein des véhicules) et la prospection politique.
