Le 13 octobre 2026, l’association noyb a mis en ligne son rapport annuel 2025. Elle y indique que ses procédures ont abouti, depuis sa création, à des amendes administratives d’un total d’environ 2 milliards d’euros, dont une partie reste contestée devant les juridictions. Le document décrit aussi 21 nouvelles plaintes déposées en 2025 et les préparatifs d’un premier recours collectif. Les cibles citées sont de grands groupes, mais les griefs retenus concernent des pratiques que l’on retrouve dans des organismes de toute taille. Le risque de plainte, et désormais d’action collective RGPD, mérite donc d’être regardé depuis un service ordinaire.
Ce que retient le rapport 2025
Plusieurs dossiers illustrent la méthode de l’association. En France, la plainte déposée en août 2022 contre Google a conduit la CNIL à prononcer, le 1er septembre 2025, une amende de 325 millions d’euros. Elle visait des publicités affichées entre les courriels de Gmail sans consentement, et un parcours de création de compte où refuser les traceurs était plus compliqué qu’accepter.
En Autriche, l’autorité de protection des données a donné raison à noyb dans une affaire visant Microsoft 365 Education, utilisé par une école. Elle a jugé illicites des cookies de suivi déposés sans consentement et constaté que la personne concernée n’avait pas obtenu un accès complet à ses données. Microsoft doit désormais fournir cet accès et expliquer certaines finalités, ainsi que les éventuelles transmissions à des tiers. La plainte visait aussi l’établissement, le conseil scolaire et le ministère, donc les acteurs publics qui avaient choisi et déployé l’outil.
Côté IA, le rapport mentionne une plainte déposée en mars 2025 auprès de l’autorité norvégienne contre OpenAI, après qu’un assistant conversationnel eut présenté à tort un utilisateur comme l’auteur d’un crime. Le dossier a été transmis à l’autorité irlandaise, chef de file pour l’entreprise. La question posée est celle de l’exactitude des données produites par un modèle et du droit de rectification.
Le recours collectif, nouvelle étape
noyb est reconnue depuis 2024 comme entité qualifiée en Autriche et en Irlande au titre de la directive européenne sur les actions représentatives. Selon le rapport complet, l’association a lancé en 2025 la préparation d’une action visant l’agence de renseignement commercial autrichienne CRIF et son score de solvabilité. Plus de 2 400 personnes lui ont confié leurs données, ce qui représente plus de 40 000 requêtes et plus de 28 000 scores. L’objectif est d’établir un traitement illicite et d’ouvrir la voie à des demandes d’indemnisation collectives.
Le droit français suit une trajectoire comparable. La loi du 30 avril 2025 portant diverses dispositions d’adaptation au droit de l’Union a refondu l’action de groupe : elle peut désormais tendre à la cessation d’un manquement et à la réparation de tous les préjudices, y compris moraux, et peut être engagée par des associations agréées comme par des associations déclarées depuis au moins deux ans dont l’objet correspond aux intérêts en cause. Le RGPD prévoit déjà, à son article 80, qu’une association puisse représenter les personnes concernées.
Action collective RGPD : pourquoi un organisme ordinaire est concerné
Les dossiers de noyb partent presque toujours d’une situation banale : une demande d’accès restée sans réponse complète, un bandeau cookies mal conçu, un logiciel déployé sans analyse, une information incomplète. Ces griefs sont faciles à documenter par un plaignant, avec des captures d’écran ou un échange de courriels. Une collectivité, une association ou un service de santé au travail peut se retrouver dans la même position, d’autant que les plaintes visent aussi l’organisme qui utilise l’outil, et pas seulement l’éditeur.
L’action collective change l’échelle du risque. Un manquement répétitif, comme un traceur déposé sur chaque visite ou une information absente dans un formulaire, touche par construction des milliers de personnes. Une réparation modeste par personne peut alors représenter une somme importante. S’y ajoute l’effet sur la réputation : une procédure de ce type est publique, relayée, et la CNIL peut être saisie en parallèle par les mêmes personnes. Pour un service public ou une association, la perte de confiance des usagers ou des adhérents pèse souvent plus lourd que le montant en jeu.
Ce que l’organisme doit vérifier
- La procédure de réponse aux demandes d’accès : délai d’un mois, réponse complète (données, finalités, destinataires, durées, source), traçabilité de chaque demande.
- Le bandeau cookies du site et des applications : refuser doit être aussi simple qu’accepter, aucun traceur non exempté avant le choix.
- Les outils en ligne choisis pour les salariés, les usagers ou les élèves : analyse préalable, contrat de sous-traitance conforme à l’article 28, paramétrage des données de télémétrie.
- Les usages d’IA générative : exactitude des sorties qui concernent des personnes, possibilité de rectifier, information.
- Le registre et les preuves : un organisme qui peut produire rapidement ses analyses, contrats et réponses aux droits se défend mieux devant la CNIL comme devant un juge.
DPO FRANCE, réseau national de DPO indépendants, accompagne les organismes dans la gestion des demandes d’exercice des droits et la revue de leurs outils numériques. DPO SUITE suit les demandes de droits avec leurs délais, tient le registre et les contrats de sous-traitance, et conserve les preuves utiles en cas de plainte.
