Application du RGPD en 2025 : points clés du rapport annuel du CEPD

En 2025, l’application du RGPD en Europe a évolué non seulement à travers les amendes, mais aussi grâce à la coopération transfrontalière, aux droits des personnes concernées et aux interactions entre réglementations numériques.

Cette évaluation s’appuie sur les données officielles du rapport annuel 2025 du Comité européen de la protection des données (CEPD), publié le 9 avril 2026. Plutôt qu’un classement non vérifié des « sept sujets les plus sanctionnés », nous examinons les indicateurs concrets d’application publiés par le CEPD.

Données officielles du CEPD pour 2025

Selon le rapport annuel 2025 du CEPD :

Le registre des affaires du CEPD a enregistré 414 affaires transfrontalières.
Le mécanisme de guichet unique prévu à l’article 60 du RGPD a déclenché 1 299 procédures.
Parmi ces procédures, 572 ont abouti à une décision finale.
En 2025, les autorités nationales de protection des données ont infligé des amendes d’un montant total d’environ 1,15 milliard d’euros.

Ces chiffres ne permettent pas, à eux seuls, de classer les articles du RGPD les plus sanctionnés.

Application transfrontalière du RGPD

Pour les produits numériques et les services SaaS présents dans plusieurs pays, les contrôles de protection des données peuvent impliquer plusieurs autorités nationales.

Le guichet unique est un mécanisme essentiel de coopération entre l’autorité de contrôle chef de file et les autres autorités de contrôle concernées pour les traitements transfrontaliers.

2025 Cadre d'application coordonnée

L’action coordonnée du CEPD en 2025 a porté sur le droit à l’effacement.

Cela montre que les entreprises ont besoin de plus qu’une politique de confidentialité : les demandes des personnes concernées doivent aussi pouvoir être mises en œuvre dans leurs systèmes réels.

Les demandes d’effacement peuvent-elles être exécutées techniquement ?

Avant d’affirmer que les données d’un client ont été effacées, il faut connaître leur statut dans :

CRM,
les systèmes d’assistance client,
les systèmes d’automatisation marketing,
les entrepôts de données,
les systèmes de sauvegarde

Le statut des données doit être connu dans chacun de ces systèmes.

Intersection AI et RGPD

Tout au long de 2025, le CEPD a travaillé sur les interactions entre le droit de la protection des données, l’IA et les autres réglementations numériques européennes.

L’entreprise ne doit pas examiner un projet d’IA uniquement au regard du règlement sur l’IA. Si le système traite des données personnelles, les dispositions du RGPD relatives au fondement juridique, à la transparence, à la minimisation des données et aux droits des personnes concernées entrent aussi en jeu.

Enseignements opérationnels de l’application du RGPD en 2025

La politique de confidentialité doit correspondre au fonctionnement réel du système.
Les demandes des personnes concernées ne doivent pas relever de la seule équipe juridique.
Les demandes d’effacement, d’accès et de rectification doivent être reliées aux systèmes techniques concernés.
Les flux de données transfrontaliers doivent être visibles.
L'IA et les processus de profilage devraient être inclus dans l'inventaire des données.
Les preuves de conformité doivent être conservées sous une forme vérifiable lors d’un audit.

Une amende n'est pas le seul risque.

Pour évaluer l’application du RGPD, il ne faut pas se limiter au montant des amendes.

Pour les entreprises, les conséquences peuvent aussi inclure :

Interruption de l'activité de traitement,
obligation de supprimer les données,
mesures correctives,
les répercussions sur la réputation,
Coût de fonctionnement

Ces éléments peuvent aussi avoir des conséquences importantes.

2025 Liste de contrôle de l'application du RGPD

Les demandes des personnes concernées peuvent-elles être exécutées dans les systèmes ?
Les flux de données transfrontaliers sont-ils documentés ?
Le champ d’application du mécanisme de guichet unique a-t-il été évalué ?
Les systèmes d’IA figurent-ils dans l’inventaire des données ?
Les processus de conservation et d’effacement fonctionnent-ils dans les systèmes réels ?
Les preuves de conformité sont-elles conservées ?

L'approche B10

Dans ses démarches de conformité au RGPD et à la KVKK, B10 Digital Agency examine les exigences juridiques en lien avec les flux réels de données, les systèmes SaaS et les opérations techniques.

Source officielle

Comité européen de la protection des données – Rapport annuel 2025

Conclusion

Les données de 2025 sur l’application du RGPD montrent que la conformité ne se limite pas à rédiger des documents. La mise en œuvre des droits des personnes concernées dans les systèmes réels et la gestion opérationnelle des données transfrontalières sont des éléments essentiels de la gouvernance des données en entreprise.