Quelles erreurs reviennent dans les sanctions de la CNIL ? Nous avons classé 201 décisions avec amende, documentées par des sources officielles, pour rendre leurs enseignements accessibles aux dirigeants, aux équipes et à toute personne qui s’intéresse à l’utilisation de ses données.
Premier résultat : les défauts d’information apparaissent dans 66 décisions. Le défaut de coopération avec la CNIL en concerne 55, devant les insuffisances de sécurité, citées dans 53. Les cinq plus grandes amendes individuelles concentrent, à elles seules, 83,2 % du montant total de cette sélection.
Explorez les cas ci-dessous, puis retrouvez notre lecture des résultats et les vérifications concrètes à en tirer.
Pour mettre les chiffres français en perspective, consultez aussi notre comparaison par habitant des décisions documentées dans dix pays européens, avec le nombre de dossiers disponibles et leurs sources.
Ce corpus rassemble les décisions récentes documentées dans les sources consultées. Il ne couvre pas toutes les sanctions de la CNIL. Les règles sur les cookies et la prospection ne relèvent pas toutes du RGPD.
Choisissez ce que vous explorez
Les erreurs les plus souvent citées
Dans les 201 décisions de la sélection actuelle.
Les décisions derrière les chiffres
201 décisions dans cette sélection, de la plus récente à la plus ancienne.
Des demandes d’effacement n’avaient pas été traitées. Des personnes n’avaient pas été informées du résultat de leur demande, ou l’avaient été tardivement.
Décision publique consultéeNumérique et télécomsLa sécurité des dossiers patients était insuffisante. L’hôpital n’avait pas informé directement les tiers de confiance dont les données avaient été dérobées.
Décision publique consultéeSantéLes entrepôts de santé ne respectaient pas toutes les conditions de leurs autorisations, notamment pour la sécurité, l’information et l’opposition. Le logiciel de pharmacie pouvait transmettre des données malgré un refus de transmission.
Décision publique consultéeSantéLa CNIL relève des manquements concernant la licéité du dispositif vidéo, la minimisation des données, l’encadrement des sous-traitants et l’analyse d’impact.
Résumé officiel seulCommerce et servicesLa sanction concerne la minimisation des données, leur durée de conservation et l’encadrement des relations avec les sous-traitants.
Résumé officiel seulCommerce et servicesLa sanction porte sur la conservation et la licéité des traitements, l’information des personnes et le droit à l’effacement. Des manquements au consentement et à l’information sur les cookies sont aussi mentionnés.
Résumé officiel seulCommerce et servicesLa CNIL relève des manquements à l’information sur l’exercice des droits et au droit d’accès.
Résumé officiel seulCommerce et servicesL’association a été sanctionnée pour des manquements à l’information des personnes et à la sécurité des données.
Résumé officiel seulSantéLa sanction concerne la licéité de la vidéoprotection et l’information des personnes sur ce dispositif.
Résumé officiel seulSecteur public et associationsLa CNIL relève des manquements à la licéité de la vidéoprotection, à l’information des personnes et à la sécurité des données.
Résumé officiel seulTransportLe résumé officiel mentionne un défaut de sécurité des données.
Décision publique consultéeSecteur public et associationsLa sanction concerne l’information sur l’exercice des droits et le respect du droit d’accès.
Résumé officiel seulSecteur public et associationsLa CNIL relève des manquements à la sécurité des données et à l’information des personnes touchées par une violation de données.
Décision publique consultéeNumérique et télécomsLa sanction concerne la conservation et la sécurité des données, ainsi que l’information des personnes touchées par une violation de données.
Décision publique consultéeNumérique et télécomsLe résumé officiel mentionne un manquement au principe de limitation des finalités.
Résumé officiel seulFormation et enseignementLa sanction concerne la licéité des traitements, l’information des personnes, l’analyse d’impact et la sécurité. Le consentement aux cookies est également en cause.
Décision publique consultéeAutresLa sanction concerne la licéité de la vidéoprotection, la durée de conservation et la sécurité des données.
Résumé officiel seulTransportLa CNIL relève des manquements à la licéité du dispositif vidéo et à l’information des personnes filmées.
Résumé officiel seulCommerce et servicesLa sanction concerne la sécurité des données, le consentement au traitement de données sensibles et le consentement aux cookies.
Résumé officiel seulNumérique et télécomsLa sanction concerne une vidéosurveillance contraire au principe de minimisation des données et un défaut de coopération avec la CNIL.
Résumé officiel seulCommerce et services
Des chiffres à lire avec leurs sources
Décisions récentes individuellement documentées dans les sources officielles consultées au 25 octobre 2026. Le registre s’arrête au 2 avril 2026 ; trois décisions ultérieures sont documentées par des communiqués. Les bilans agrégés de procédures simplifiées ne permettent pas de reconstruire toutes les décisions. Ce corpus ne représente pas l’intégralité des sanctions prononcées.
Montants initialement prononcés, hors astreintes, sauf la sanction SAN-2023-025 ramenée de 75 000 € à 50 000 € par le Conseil d’État en 2026. Les autres recours et le paiement ne sont pas vérifiés systématiquement. Une amende peut couvrir plusieurs manquements et ne donne pas le prix d’une erreur.
La méthode en quelques mots
Comptage des manquements cités dans les résumés officiels, avec une seule occurrence par thème et décision. Les communiqués peuvent être plus détaillés que le registre ; la comparaison sans communiqués permet d’en mesurer l’effet.
Une entrée du registre documente une décision sauf regroupement explicite non résolu, alors exclu. Les références internes ne sont pas des numéros officiels. Les entrées anonymes ne permettent pas toujours d’identifier individuellement les destinataires.
Les secteurs désignent ceux documentés dans le corpus. Cette sélection ne mesure ni la fréquence des manquements dans l’ensemble des organisations, ni la probabilité d’un contrôle.
Dans la sélection actuelle : 35 dispositifs de décisions publiques consultés et 166 résumés officiels seuls.
Réutiliser les données
Le corpus complet et ses sources sont accessibles sans compte.
Les décisionsCSVDécisions, thèmes et preuvesJSONVersion du 25 octobre 2026. Les téléchargements contiennent le corpus complet, quels que soient les filtres.
Les 10 erreurs les plus fréquentes, avec une égalité au dixième rang
Ce classement mesure les manquements mentionnés dans les résumés officiels de notre sélection. Une décision peut citer plusieurs problèmes : un même dossier peut donc apparaître dans plusieurs lignes. Chaque thème est compté une seule fois par décision.
| Rang | Erreur mentionnée dans le résumé officiel | Décisions sur 201 |
|---|---|---|
| 1 | Mal informer les personnes | 66 — 32,8 % |
| 2 | Ne pas coopérer avec la CNIL | 55 — 27,4 % |
| 3 | Protéger insuffisamment les données | 53 — 26,4 % |
| 4 | Ne pas respecter les demandes des personnes | 50 — 24,9 % |
| 5 ex æquo | Ne pas respecter les conditions légales d’utilisation | 41 — 20,4 % |
| 5 ex æquo | Collecter ou surveiller de façon excessive | 41 — 20,4 % |
| 7 | Ne pas respecter les règles sur les cookies | 37 — 18,4 % |
| 8 | Conserver les données trop longtemps | 34 — 16,9 % |
| 9 | Ne pas respecter les obligations de sous-traitance | 19 — 9,5 % |
| 10 ex æquo | Mal recueillir ou gérer le consentement | 17 — 8,5 % |
| 10 ex æquo | Mal tenir le registre des traitements | 17 — 8,5 % |
Nous conservons les deux thèmes à égalité au dixième rang : choisir arbitrairement l’un d’eux masquerait une partie du résultat. Les pourcentages ne s’additionnent pas et ne représentent pas la probabilité qu’une entreprise soit contrôlée ou sanctionnée.
Informer et répondre : deux vérifications très concrètes
L’information arrive en tête. Cela invite à regarder ce qu’une personne comprend réellement lorsqu’elle remplit un formulaire, ouvre un compte ou demande des explications sur ses données. Une notice existe peut-être, mais permet-elle de comprendre les usages et les moyens d’exercer ses droits ?
Les demandes des personnes constituent un autre thème, présent dans 50 décisions. Pour une organisation, un test simple consiste à suivre le parcours d’une demande d’accès ou de suppression : où arrive-t-elle, qui la reçoit, qui cherche les informations et qui prépare la réponse ? Une adresse de contact fonctionne seulement si quelqu’un traite ce qui y arrive.
Pour un client, un salarié ou un candidat, ces deux thèmes rendent la protection des données tangible : savoir ce qui est fait de ses informations et pouvoir obtenir une réponse. Dans le tableau interactif, sélectionnez ces thèmes pour lire les résumés des dossiers concernés et accéder aux sources.
La coopération mérite sa place dans la liste des priorités
Le défaut de coopération est mentionné dans 55 décisions. Il apparaît avec un manquement relatif aux droits des personnes dans 21 dossiers. Ce rapprochement décrit les cas sélectionnés ; il ne démontre pas qu’un problème a causé l’autre.
La vérification pratique est néanmoins simple : identifiez la personne qui reçoit les demandes de l’autorité, prévoyez son remplacement et conservez les réponses avec les pièces envoyées. Le sujet concerne aussi l’organisation du courrier, des responsabilités et du suivi.
Nous avons réservé cette catégorie aux résumés qui mentionnent explicitement un défaut de coopération. Une injonction de mise en conformité ne suffit pas à y faire entrer une décision.
Sécurité, collecte et conservation : regarder ce qui se passe dans les outils
La sécurité apparaît dans 53 décisions, la collecte ou la surveillance excessive dans 41 et la conservation trop longue dans 34. Pour passer du classement à l’action, trois contrôles peuvent servir de point de départ :
- Accès aux données : examinez les habilitations, l’authentification, les mises à jour et la détection des accès inhabituels. La survenue d’une fuite ne suffit pas, à elle seule, à établir un manquement.
- Données demandées ou surveillées : pour chaque champ d’un formulaire ou chaque dispositif de surveillance, vérifiez ce qui est indispensable à l’objectif poursuivi.
- Données anciennes : comparez les durées définies à ce qui reste effectivement dans les applications et les espaces de stockage concernés. Une règle écrite ne prouve pas qu’une suppression a lieu.
Ces contrôles permettent d’ouvrir une discussion entre les équipes métiers et informatiques. Le filtre par secteur aide à trouver des situations proches de son activité, sans prétendre établir un classement des secteurs les plus exposés : nous ne connaissons pas le nombre d’organisations contrôlées dans chacun d’eux.
Cookies, consentement et prestataires : distinguer les questions
Les cookies sont cités dans 37 décisions. Dans notre classement, leurs problèmes d’information, de consentement ou d’opposition restent dans la catégorie « cookies ». Ils ne gonflent pas automatiquement les catégories générales « information » et « consentement ».
Sur un site, le contrôle consiste notamment à tester les traceurs déposés et les choix proposés avant et après un refus. Pour le consentement hors cookies, présent dans 17 décisions, examinez sa portée, la preuve conservée et la possibilité de le retirer.
Les conditions légales d’utilisation des données, citées dans 41 décisions, posent une question plus large : quel fondement a été retenu pour chaque usage ? Le consentement ne doit pas être supposé adapté à toutes les situations.
Enfin, les obligations de sous-traitance apparaissent dans 19 décisions et le registre des traitements dans 17. Vérifiez les engagements des prestataires qui traitent des données, puis comparez votre registre aux usages réellement effectués. Ces documents deviennent utiles lorsqu’ils décrivent les responsabilités et les opérations concrètes.
Les plus grandes amendes racontent une autre partie de l’histoire
Les 201 décisions correspondent à 204 amendes distinctes, pour un montant initial cumulé de 678 812 000 €. Les cinq plus grandes représentent 565 millions d’euros, soit 83,2 % de ce total.
| Destinataire selon la source consultée | Amende individuelle initiale |
|---|---|
| GOOGLE LLC | 200 millions d’euros |
| INFINITE STYLES SERVICES CO. LIMITED | 150 millions d’euros |
| GOOGLE IRELAND LIMITED | 125 millions d’euros |
| ORANGE SA | 50 millions d’euros |
| Entreprise d’affichage de publicités ciblées sur le web — identité anonymisée | 40 millions d’euros |
La décision Google contient deux amendes : 200 et 125 millions d’euros. Afficher son total de 325 millions comme une seule amende fausserait la comparaison. À l’inverse, la ventilation d’une même amende entre plusieurs fondements juridiques ne crée pas plusieurs amendes.
Ces montants ne donnent pas le « prix » d’une erreur. Une amende peut couvrir plusieurs manquements. Nous ne répartissons donc pas artificiellement son montant entre les thèmes. Les chiffres sont ceux initialement prononcés : les recours, réductions, annulations ultérieures et paiements n’ont pas été vérifiés.
D’où viennent les données ?
La sélection couvre des décisions datées du 8 février 2023 au 21 juillet 2026, individuellement documentées dans les sources consultées au 21 octobre 2026. Le seuil visé était de 200 ; conserver toutes les décisions du jour situé à la limite porte le total à 201.
Nous utilisons 198 résumés du registre officiel et trois communiqués individuels concernant IQVIA, l’Hôpital privé de la Loire et EXTIA. Pour 35 décisions publiées, le dispositif a été consulté pour vérifier les destinataires, montants et fondements des amendes. Les 166 autres dossiers reposent sur leur résumé officiel. Nous ne revendiquons pas une lecture juridique intégrale des motifs de 201 décisions.
Le registre consulté s’arrête au 2 avril 2026. Les bilans agrégés ultérieurs ne permettent pas de reconstituer toutes les décisions individuelles : il ne s’agit donc ni d’un inventaire exhaustif ni d’une série annuelle complète. Les astreintes, rappels à l’ordre et clôtures sans nouvelle amende initiale sont exclus.
Les thèmes proviennent des résumés communs, même lorsqu’un texte intégral est disponible. Le filtre « registre seul » permet de retirer les trois communiqués, parfois plus détaillés. Un thème absent du résumé ne démontre pas le respect de l’obligation correspondante. Les règles sanctionnées peuvent relever du RGPD, de la loi Informatique et Libertés ou du code des postes et des communications électroniques : toutes ces amendes ne sont pas des « amendes RGPD » au sens strict.
Télécharger les données et réutiliser les résultats
Les décisions au format CSV, les amendes individuelles et le jeu de données JSON sont accessibles sans inscription. La méthodologie décrit les règles de sélection et les corrections ; les conditions de réutilisation distinguent notre travail des contenus sources.
Pour citer un résultat, indiquez la version du 21 octobre 2026 et le périmètre de 201 décisions documentées. Vous pouvez également partager une sélection du tableau interactif et remonter au registre de la CNIL pour consulter les informations d’origine.