Nous réexaminons les sanctions financières publiées par les autorités de protection des données dans dix pays européens. Le corpus de travail contient 1 044 fiches candidates, dont 130 décisions grecques numérotées et datées. Ce volume ne certifie pas une sélection des 200 décisions les plus récentes de chaque pays. L’audit des fondements juridiques, des dates, des références et des recours est en cours. La France figure en premier dans le tableau pour faciliter la lecture, sans que cet ordre représente un classement des montants.
Les totaux et les ratios par habitant publiés dans une version antérieure de cette page sont suspendus. Ils additionnaient des sélections dont le périmètre et la couverture différaient. Nous publierons une nouvelle analyse des montants lorsque les décisions qui la composent seront vérifiées dossier par dossier et que la couverture de chaque pays sera établie.
La règle de sélection
Pour entrer dans le jeu comparatif, une ligne doit correspondre à une décision individuelle imposant une amende au titre du RGPD, avec une référence et une source officielle propres au dossier et une date de décision vérifiée. Un montant non publié reste inconnu ; il ne contribue pas au calcul. Les montants prononcés et leurs modifications après recours doivent être distingués. Les annonces, dates de publication et années de rapport ne tiennent pas lieu de date de décision ; les totaux annuels ne sont pas convertis en dossiers individuels.
Le plafond visé est de 200 décisions récentes par pays. Atteindre ce plafond dans un fichier ne suffit pas à prouver qu’il contient les 200 dernières décisions nationales : il faut aussi contrôler les décisions plus récentes qui pourraient manquer. Si moins de 200 décisions conformes sont publiquement identifiables, le pays restera en dessous du plafond, avec une limite de couverture explicite.
Ce que le nouvel audit a révélé
- France. Sur les 200 fiches de la sélection précédente, 29 seulement disposent à ce stade d’une référence individuelle et d’un texte vérifiant un fondement RGPD. Huit autres sanctions sont confirmées hors du périmètre RGPD strict, dont six concernant seulement les cookies ou la prospection électronique. La liste des sanctions de la CNIL ne rend pas publiques toutes les décisions simplifiées. Le Conseil d’État a ramené de 32 à 15 millions d’euros l’amende RGPD d’Amazon France Logistique ; une analyse des montants doit intégrer cette réformation.
- Allemagne. Les autorités fédérale et régionales publient séparément. Aucune des fiches allemandes de la collecte actuelle ne porte encore une date exacte de décision vérifiée. Un classement national chronologique ne peut pas être certifié avec ces seules fiches.
- Espagne. Le rapport 2025 de l’AEPD recense plus de 300 procédures achevées par une amende cette année-là, tandis que le registre des résolutions n’a pas pu être parcouru intégralement lors de la collecte. Les 134 fiches actuelles ne démontrent donc pas une sélection des 200 dernières amendes.
- Italie. Nous avons repéré 231 décisions monétaires référencées dans l’index du Garante et les publications connexes. La sélection de 200 contient sept décisions dont le montant est masqué. Des décisions retirées ou caviardées et l’absence de date initiale de publication empêchent de certifier les 200 dernières amendes nationales.
- Estonie. Le rapport 2024 de l’AKI recense 35 décisions d’amende depuis mai 2018, dont deux annulées, sans fournir une liste publique de 35 décisions individuelles répondant toutes au même périmètre RGPD. Deux fiches seulement figurent dans notre collecte actuelle. L’écart exige une vérification, sans assimiler automatiquement les 35 cas à des amendes RGPD exploitables.
- Grèce. Nous avons contrôlé 190 résultats de l’archive de l’autorité hellénique obtenus par un mot-clé relatif aux amendes. Parmi eux, 129 décisions numérotées imposent une amende RGPD ; une décision supplémentaire a été vérifiée dans son PDF officiel hors de cette recherche. Ces 130 décisions ont une date, une référence et un lien individuel. Un total monétaire attribuable au RGPD est documenté pour 99 décisions ; 31 autres restent sans total vérifié. Le tri écarte les amendes relevant uniquement d’autres lois et n’établit pas que ces 130 décisions sont les dernières de l’ensemble du pays. Le journal des 191 actes contrôlés conserve les classifications et sources individuelles.
- Luxembourg. L’index de la CNPD contient 55 sanctions RGPD dans le fichier actuel ; une autre amende annoncée hors index reste à dater précisément. Les publications identifiées ne permettent pas d’y constituer 200 dossiers datés et référencés.
- Pologne. Le croisement du registre UODO et des bilans annuels donne 141 dossiers référencés, dont 140 avec une date exacte. Certaines amendes annulées ont été remplacées sans compter deux fois la même affaire ; trois amendes de 2019 restent sans date et référence individuelles vérifiables.
- Lettonie. Parmi 40 fiches du registre DVI et de ses décisions liées, 32 ont un fondement d’amende RGPD vérifié. Sept autres fondements restent incertains. Quatorze sanctions fondées uniquement sur la procédure nationale ont été écartées.
- Lituanie. La VDAI permet d’identifier 40 dossiers individuels dans notre collecte. Ses rapports 2019–2025 signalent 108 amendes administratives au total, sans établir qu’elles relèvent toutes du RGPD ni fournir chaque décision datée et référencée.
Consulter le travail en cours
L’explorateur ci-dessous permet de retrouver les fiches candidates et leurs liens sources. Il s’agit d’un corpus de travail, soumis aux contrôles décrits plus haut. Une fiche présente dans ce corpus n’est pas encore nécessairement admissible dans la future série comparative.
État du corpus par pays
Nous réexaminons les décisions, leurs dates, leurs références et leur fondement juridique. Le classement des montants par habitant est suspendu pendant cet audit : les sélections actuelles ne constituent pas les 200 dernières amendes RGPD vérifiées de chaque pays.
La France est présentée en premier ; cet ordre ne représente pas un classement. Les chiffres décrivent le corpus de travail. Une date exacte ne suffit pas à confirmer le fondement RGPD, l’exhaustivité de la sélection ou le montant finalement dû.
Faites glisser le tableau pour voir toutes les colonnes.
| Pays | Dossiers repérés | Dates de décision au jour près | Références ou décisions liées | Période des dates renseignées |
|---|---|---|---|---|
| France | 200 | 200 | 35 | 08/02/2023 → 21/07/2026 |
| Allemagne | 102 | 0 | 0 | Dates de décision non disponibles |
| Espagne | 134 | 123 | 134 | 24/01/2022 → 14/08/2026 |
| Estonie | 2 | 2 | 2 | 18/12/2024 → 05/09/2025 |
| Grèce | 130 | 130 | 130 | 26/07/2019 → 06/10/2026 |
| Italie | 200 | 200 | 200 | 04/12/2025 → 07/10/2026 |
| Lettonie | 40 | 39 | 32 | 26/08/2019 → 31/07/2026 |
| Lituanie | 40 | 35 | 20 | 14/05/2019 → 19/06/2026 |
| Luxembourg | 55 | 55 | 55 | 08/04/2021 → 16/12/2025 |
| Pologne | 141 | 140 | 141 | 15/03/2019 → 05/09/2026 |
« Référence ou décision liée » signifie qu’un numéro officiel ou un lien direct vers le document figure dans la fiche. Les dates au jour près proviennent de la source consultée et ne sont pas toutes confirmées par un texte individuel. Ces chiffres ne certifient ni le fondement RGPD, ni un inventaire national complet, ni une sélection des 200 décisions les plus récentes.
Sources et limites par pays
France
Décisions récentes individuellement documentées dans les sources officielles consultées au 25 octobre 2026. Le registre s’arrête au 2 avril 2026 ; trois décisions ultérieures sont documentées par des communiqués. Les bilans agrégés de procédures simplifiées ne permettent pas de reconstruire toutes les décisions. Ce corpus ne représente pas l’intégralité des sanctions prononcées.
Autorités couvertes : CNIL.
Montants initialement prononcés, hors astreintes, sauf la sanction SAN-2023-025 ramenée de 75 000 € à 50 000 € par le Conseil d’État en 2026. Les autres recours et le paiement ne sont pas vérifiés systématiquement. Une amende peut couvrir plusieurs manquements et ne donne pas le prix d’une erreur.
Allemagne
102 décisions monétaires individuellement distinguables dans les sources officielles consultées; corpus non exhaustif, ordre national des 200 dernières décisions non démontrable.
Autorités couvertes : 17 des 18 autorités membres de la DSK ont au moins un cas sélectionné; aucune décision individuelle du BayLfD public bavarois. La présence d’un cas ne prouve pas une couverture complète..
Sous-total des montants exacts attribuables aux 102 décisions sélectionnées: 51 351 200 €. Ce n’est ni le total national ni celui des 200 dernières décisions; les agrégats non attribuables sont exclus.
Aucun registre chronologique national ne réunit les décisions monétaires des 18 autorités DSK; le registre EDPB Article 60 ne couvre que les dossiers transfrontières et est explicitement incomplet pour NI, MV et NRW.
Les rapports annuels publient des choix de cas et des agrégats de montants ou d’amendes; la plupart des références et dates individuelles de décision restent inconnues.
Cinq dossiers historiques sont exclus de la comparaison par décision: quatre agrégats de plusieurs amendes ou avis indéterminés et un renvoi au parquet sans amende administrative. Deux décisions Vodafone remplacent l’agrégat historique de 45 M€.
Dix autres récits groupés non attribuables individuellement sont conservés dans l’audit séparé, hors des 102 lignes.
Le montant exact n’est publié que pour une partie des décisions; les plages et les montants non attribuables ne sont pas convertis en montants par décision.
Dates de publication conservées séparément des dates de décision. Le nouveau cas de Rhénanie-Palatinat est publié en octobre 2026 mais sa date et son année de décision ne sont pas indiquées.
Les montants sont les amendes initialement prononcées lorsqu’ils sont connus, même sous recours; astreintes, frais et hausses judiciaires non attribuables sont exclus.
Le cas Ahrweiler publié le 27 août 2025 est une amende individuelle, mais le récapitulatif officiel couvre 2024 et 2025 sans indiquer la date ni l’année de décision.
Espagne
134 décisions monétaires RGPD individuellement vérifiées dans les PDF AEPD : 123 du corpus de registre accessible et 11 du flux officiel RSS. Les dates des 11 ajouts ne sont pas publiées dans le flux; le registre filtré renvoyait HTTP 503. Cette sélection ne prouve pas les 200 dernières décisions espagnoles.
Autorités couvertes : Agencia Española de Protección de Datos (AEPD).
Montant définitivement fixé dans la résolution administrative consultée, après réduction pour paiement volontaire lorsqu’elle est effectivement appliquée. amount_before_reduction_eur conserve la base préalable. Pas un montant définitivement jugé ni une recette encaissée nationale.
AEPD seulement, pas toutes les autorités espagnoles.
Publication et disponibilité des décisions produisent un biais de sélection.
Signature et publication sont deux dates distinctes.
Un dossier peut contenir plusieurs infractions ; le total monétaire du dossier ne doit pas être additionné une fois par thème.
Les allégations, dispositions citées, injonctions et incidents ne sont pas automatiquement des manquements retenus.
Le flux RSS officiel a révélé 11 sanctions monétaires absentes du relevé de registre, mais ne donne pas leurs dates de signature ou de publication; elles restent datées null dans les données.
Estonie
Deux décisions monétaires individuelles liées au RGPD avec dates et références vérifiées : Allium UPI (2025) et Eesti Metsakinnistud (2024). L’AKI n’a prononcé que 35 amendes de mai 2018 à décembre 2024, tous fondements confondus ; son rapport 2025 regroupe cinq amendes ou paiements coercitifs. La sélection nationale reste incomplète, et 200 amendes documentées ne sont pas établies.
Autorités couvertes : Andmekaitse Inspektsioon (AKI), Estonie; communiqués, registre documentaire et rapports annuels officiels, complétés par un ordre du tribunal identifiant la décision Allium UPI..
Montant communiqué par AKI pour la décision individuelle; l’agrégat annuel mélangé de 2025 est exclu.
La page de décisions de l’AKI publie des injonctions, des décisions de recours et des positions, mais pas un registre chronologique exhaustif des amendes. Le registre documentaire exclut le texte des documents à accès restreint ; leur communication nécessite une demande d’information.
La recherche publique comprend aussi des annonces relatives à des amendes étrangères, des explications et des suites judiciaires. Elle ne permet pas de reconstituer toutes les décisions nationales.
L’agrégat annuel 2025 mêle amendes prononcées et paiements coercitifs recouvrés : ses 3 088 100 € ne sont pas ajoutés au montant des décisions individuelles.
Le rapport annuel 2024 compte 35 décisions d’amende de mai 2018 à décembre 2024, dont deux annulées ; ce total englobe aussi des infractions nationales hors sélection RGPD. Le rapport 2025 compte cinq occurrences dans une catégorie mêlant amendes et paiements coercitifs, sans inventaire individuel.
Pour Allium UPI, le communiqué de l’AKI ne donne pas la référence ; un ordre du tribunal relatif au recours identifie le 5 septembre 2025 comme date de la décision AKI et 951024000008 comme numéro d’affaire. Le texte intégral de l’amende n’a pas été trouvé dans les sources publiques consultées.
Le suivi du recours s’arrête au communiqué officiel du 2 septembre 2026 : le tribunal a confirmé l’amende, mais son jugement n’était alors pas définitif.
Une amende de 800 € visant une personne physique anonymisée est documentée séparément dans l’audit, mais son dispositif est fondé sur l’IKS § 71 sans sanction RGPD opératoire; elle n’est pas ajoutée à cette sélection RGPD.
Grèce
130 décisions numérotées et datées imposant une amende RGPD, repérées dans les publications officielles de la HDPA : 129 dans 190 résultats d’une recherche par mot-clé relatif aux amendes, et une décision supplémentaire vérifiée par PDF. Cela ne prouve pas que ce soient les 130 dernières décisions nationales ni que l’archive ne contienne pas d’autres amendes.
Autorités couvertes : Autorité hellénique de protection des données (HDPA).
99 décisions ont un total initial RGPD attribuable selon le résumé officiel ou le dispositif PDF ; 31 montants restent à vérifier. Les montants n’alimentent aucun classement national.
La recherche par mot-clé « πρόστιμο » renvoie aussi des amendes fondées uniquement sur le droit des communications électroniques ou l’ancien droit, des actes sans nouvelle sanction et des avis. Les 190 résultats ont été classés individuellement ; les lignes non RGPD ne figurent pas dans la sélection publiée.
La recherche par mot-clé n’est pas un registre exhaustif des amendes. Une décision RGPD supplémentaire, n° 1/2026, a été trouvée hors de ces résultats.
31 décisions incluses ont un total monétaire RGPD distinct non vérifié. Pour les décisions fondées sur plusieurs régimes juridiques, un total composite n’est jamais imputé au seul RGPD.
La plupart des dates proviennent de la fiche individuelle de la HDPA, sans contrôle du PDF signé pour chaque dossier. Une discordance de date a été corrigée pour la décision 13/2026.
Les suites des recours et les paiements ne sont pas vérifiés systématiquement. Aucun total ni ratio par habitant n’est calculé.
Italie
231 décisions pécuniaires individuelles observées du 9 octobre 2025 au 7 octobre 2026: 223 montants vérifiés et 8 décisions à montant occulté. Le générateur affiche les 200 plus récentes de ce corpus selon la date de décision et le numéro officiel du Registro.
Autorités couvertes : Garante per la protezione dei dati personali (Italie). Le filtre officiel « Ordinanza ingiunzione o revoca » a été balayé sur 21 pages (210 positions affichées, 201 Doc-Web uniques après 9 doublons de pagination) et rapproché des autres rubriques, des newsletters et des communiqués jusqu’au 25 octobre 2026. Le filtre contient aussi des avertissements non pécuniaires; la présence dans ce filtre ne prouve pas à elle seule une amende..
Montants nominaux en euros des décisions officielles et, dans quatre cas, de communications officielles actuelles lorsqu’un dispositif est occulté ou retiré. Les huit autres décisions confirmées à montant occulté comptent dans les 200 mais pas dans la somme connue; celle-ci est une borne inférieure. Le paiement réduit n’est jamais supposé réalisé.
Ces 200 lignes sont les 200 décisions pécuniaires les plus récentes du corpus observé, pas la preuve des 200 dernières publiées en Italie. Le registre est mutable, trie par date de décision et ne donne pas la date initiale de publication; les pages retirées ou occultées empêchent une certification complète.
Huit décisions dans le corpus ont un dispositif pécuniaire confirmé mais un montant occulté dans la version officielle actuelle. Elles restent dans la chronologie avec montant nul; la somme et le taux par habitant des 200 lignes sont donc des bornes inférieures des sanctions nominales connues.
Les pages du filtre « Ordinanza ingiunzione o revoca » comprennent des avertissements ou ordres sans sanction pécuniaire. D’autres décisions à dispositif occulté restent des pistes non retenues lorsque le caractère monétaire ne peut être établi par les éléments officiels accessibles.
Certains actes comportent des violations mixtes du RGPD et du Codice privacy italien. Par exemple, sur les 280 000 € d’Altroconsumo Edizioni (doc. web 10269624), 180 000 € concernent les art. 6, 7, 21 RGPD avec l’art. 130 du Codice, et 100 000 € le seul art. 157 du Codice. Le total présenté est la sanction nominale intégrale, pas un total exclusivement RGPD.
La décision Tirrenia Hospital (doc. web 10257334) sanctionne uniquement l’art. 92(1) du Codice privacy italien (1 000 €), sans violation autonome du RGPD établie dans son dispositif; elle est conservée dans le périmètre plus large des sanctions de protection des données et signalée comme nationale seulement.
Les montants chiffrés sont les sanctions nominales des décisions ou de communications officielles actuelles quand le dispositif est occulté. La faculté légale de paiement réduit ne prouve pas qu’elle a été exercée; paiements et recours ultérieurs ne sont pas tous réconciliés.
La décision 10220335 comporte un titre daté 2025 par erreur; le registre, la signature et la fiche indiquent le 16 janvier 2026, date retenue. L’index général range 10225148 sous le 11 janvier 2026 alors que son texte indique le 16 janvier.
Les décisions 10225019, 10244894 et plusieurs autres comportent des coquilles dans le montant; les sommes en lettres et le dispositif ont servi à vérifier le chiffre retenu.
L’identification des organisations, les résumés et les bases légales demeurent inégaux dans les décisions plus anciennes; ne pas traiter ces champs incomplets comme des données négatives.
Lettonie
40 décisions monétaires documentées par la DVI, du 26 août 2019 au 31 juillet 2026 ; 32 amendes sont vérifiées individuellement sous l’article 83 du RGPD et une sous une disposition nationale liée au RGPD. Le fondement de sept lignes demeure non vérifié individuellement. Quatorze amendes purement procédurales fondées sur ASL 3(4) ont été écartées. Cette série n’est pas exhaustive et ne représente pas les 200 dernières décisions.
Autorités couvertes : Datu valsts inspekcija (Lettonie) ; recours dédoublonnés et montants après révision administrative quand elle est connue..
EUR ; montant actuellement documenté après recours administratif quand celui-ci a réduit la sanction. Le montant initial figure séparément lorsque vérifié.
Le registre DVI ne remonte qu’à 2020 et ne publie pas toutes les amendes recensées dans les rapports annuels ; il est impossible de certifier les 200 dernières décisions monétaires.
Sept lignes conservent une base juridique individuelle non vérifiée ; seules les amendes purement ASL 3(4) confirmées par PDF ont été retirées.
L’amende de 7 000 € du 26 août 2019 est liée à l’exercice des droits RGPD mais repose sur l’article 23 du droit national ; elle n’est pas une amende directement infligée sous l’article 83 du RGPD.
Le rapport annuel officiel 2025 recense cinq amendes pour violation du RGPD et une amende nationale pour information non transmise ; les cinq amendes RGPD de 2025 sont désormais confirmées individuellement par leurs décisions.
Le registre DVI consulté le 25 octobre 2026 publie six nouvelles décisions monétaires datées de 2026, du 24 février au 31 juillet ; celle de Fitsypro est vérifiée sous l’article 83 du RGPD et les cinq autres conservent une base individuelle non vérifiée.
Le rapport annuel 2023 compte neuf amendes pour 26 500 € ; quatre dossiers RGPD originaux de 2023 sont identifiés ici, tandis que trois amendes nationales ASL totalisant 1 300 € restent sans décision individuelle retrouvée.
Le rapport 2021 compte cinq amendes RGPD et une amende nationale, mais l’amende SIA SS de 100 000 € a été annulée ; deux autres amendes RGPD décrites dans le rapport (2 600 € et 500 €) restent sans date exacte ni décision individuelle identifiée.
En 2020, neuf décisions individuelles recensées par l’audit couvrent 92 394,80 € sur onze amendes totalisant 92 894,80 € dans le rapport DVI ; deux décisions de faible montant restent non identifiées.
La date exacte de l’amende initiale Lursoft IT n’est pas établie ; elle fut infligée fin 2020 et notifiée le 30 novembre 2020. La date du 14 janvier 2021 dans le registre correspond au recours administratif.
Le montant de 1 200 000 € infligé à Tet est confirmé par un jugement d’appel définitif. L’amende Aquaphoto de 1 000 € fut rétablie par la cour d’appel le 27 mai 2025 ; un éventuel pourvoi ultérieur n’a pas été vérifié.
L’amende 2019 de 200 € contre une personne physique, annulée par le juge en 2020, et l’amende SIA SS 2021 de 100 000 € annulée sont exclues. Les amendes nationales ASL, dont DAILENS 2025, sont également exclues de ce fichier.
L’amende anonyme de 200 € du 16 août 2022 est fondée uniquement sur ASL 3(4), selon la décision officielle, et a été retirée de la sélection RGPD.
Le rapport DVI 2021 décrit une autre amende RGPD de 500 € contre une personne physique ; sa date exacte et sa décision individuelle ne sont pas retrouvées. Elle n’est pas incluse dans les 40 lignes datées ou autrement identifiées.
Lituanie
Corpus partiel de décisions monétaires RGPD individuellement vérifiées. Les statistiques VDAI recensent 108 amendes administratives pour 2019–2025, potentiellement au titre d’autres lois; l’archive antérieure à 2025 ne publie qu’une sélection. Même ce plafond VDAI est inférieur à 200 avant les décisions 2026. L’Office de l’inspecteur de l’éthique journalistique n’est pas couvert.
Autorités couvertes : VDAI uniquement. L’Office de l’inspecteur de l’éthique journalistique n’est pas couvert..
Les trois décisions visant des personnes physiques en 2024 citent collectivement 462 €, 231 € et 462 € sans attribution explicite de chaque montant à une date: montants individuels laissés nuls.
Les deux décisions clinique/médecin du 11/09/2023 sont distinctes et explicitement décrites avec leurs montants propres.
Le défaut d’exécution d’une injonction est classé authority_orders; cooperation reste réservé au refus explicite de transmettre les informations demandées. Les manquements d’une décision antérieure ne sont pas ajoutés une seconde fois.
Les totaux annuels officiels sont distincts de cet échantillon.
Des affaires anciennes ne comportent pas de jour de décision vérifié : date nulle et année, ou mois, conservés séparément.
Le dossier Karantinas comporte deux amendes distinctes en une décision. Celle du NVSC, 12 000 €, a survécu au recours; celle du développeur, 3 000 €, a été annulée en première instance en 2024 et n’entre pas dans les sommes actuelles. L’issue d’un éventuel appel du développeur n’est pas vérifiée.
Le registre 2025 contient cinq amendes individuelles publiées, totalisant 27 029 €. Le rapport annuel évoque toutefois cinq amendes pour manquements de sécurité alors que quatre sanctions de sécurité et une sanction pour défaut de coopération sont individualisées ici; l’écart de classification ou l’existence d’une amende supplémentaire reste à élucider.
Le jugement VASA porte l’amende définitive de 2022 de 12 000 à 8 000 €. La réduction de 15 000 à 7 500 € pour l’administration municipale de Vilnius est connue en première instance seulement; le montant initial reste retenu en attendant la vérification d’un éventuel appel.
Luxembourg
55 décisions monétaires RGPD datées et référencées dans les 92 décisions de l’index officiel CNPD (2021–2025), contrôlées sur ses cinq pages le 25 octobre 2026. Le rapport annuel 2025 documente une amende supplémentaire sans date ni référence individuelle publiée; elle n’est pas inventée comme cas. Un autre titre monétaire, 34FR/2021, relève exclusivement de la loi luxembourgeoise sur les données pénales. L’amende Amazon hors index est annulée depuis le 12 mars 2026. Le plafond de 200 ne peut pas être atteint avec des décisions CNPD documentées.
Autorités couvertes : CNPD Luxembourg; 92 décisions publiées de toutes catégories dans le registre officiel pour 2021–2025 (48, 22, 12, 3 et 7 par année)..
Montant des 55 cas publiés extrait du dispositif de chaque décision PDF officielle. Leur somme est un minimum documentaire : l’amende 2025 hors index, estimée à 18 000 euros par rapprochement avec le rapport annuel, n’entre pas dans les 55 lignes. Montants historiques; recours ultérieurs non réconciliés systématiquement.
Il n’existe pas 200 décisions avec amende RGPD dans l’index officiel CNPD : il ne contient que 92 décisions de toutes catégories et 55 amendes RGPD documentées. Ne pas compléter à 200 avec des avertissements, décisions étrangères ou doublons.
Un index publié ne prouve pas l’exhaustivité des amendes nationales; la décision transfrontière Amazon, hors index, illustre cette limite.
Le rapport annuel 2025 compte sept amendes pour 216 061 euros, contre six décisions avec amende et 198 061 euros dans l’index. La septième concerne un dossier de vidéosurveillance et l’article 6.1 du RGPD. Son montant de 18 000 euros est déduit par soustraction; sa date et sa référence individuelles ne sont pas publiées, donc elle n’est pas ajoutée comme cas daté.
Décisions historiques: recours et annulations ultérieurs non vérifiés systématiquement.
Responsables de traitement pseudonymisés dans les PDF.
La décision Amazon du 15 juillet 2021 (746 millions d’euros), absente de l’index, a été annulée sous tous ses volets par la Cour administrative le 12 mars 2026 et est consignée parmi les exclusions. Le dossier a été renvoyé à la CNPD, sans nouvelle amende vérifiée à la date d’audit.
La délibération 34FR/2021 relève de la loi luxembourgeoise sur les données en matière pénale/sécurité nationale et est exclue du périmètre RGPD.
Le registre officiel comporte 56 titres avec amende, dont 55 sous le RGPD retenus ici. Le rapport 2021 annonce 25 amendes alors que 26 titres monétaires de cette année figurent dans l’archive; les montants des 26 concordent avec le total annuel, sans que l’écart de décompte soit expliqué.
La délibération datée du 2 février 2022 et classée en 2022 par la CNPD porte 2FR/2021 dans l’en-tête de son PDF; la référence 2FR/2022 est normalisée et l’anomalie est signalée sur la ligne.
Pologne
141 décisions monétaires RGPD individuellement référencées. Les années 2021, 2022, 2023, 2024 et 2025 sont réconciliées, décision par décision et en PLN, aux annexes annuelles UODO (hors sanction purement télécom en 2022). En 2026, la sanction du Ministre de la Justice a une référence et un montant publics mais sa date exacte de décision demeure inconnue. Le filtre public des sanctions contient 137 entrées, dont deux sous le seul droit télécom ; les rapports annuels complètent ce registre. Trois autres décisions de 2019 sont annoncées par UODO sans date ni référence individuelles vérifiables ; elles restent hors des lignes. Un corpus national exact des 200 dernières décisions n’est pas attestable : seules 141 décisions éligibles sont identifiées.
Autorités couvertes : UODO ; décisions individuelles de sanction sous RGPD. Les avertissements et les autres régimes sont exclus..
Conversion indicative de chaque décision datée en PLN au dernier taux quotidien BCE disponible à sa date.
Corpus de décisions publiées, soumis au biais de publication ; pas un dénominateur pour mesurer le risque de sanction.
Une décision du pilote demeure documentée par son communiqué seul ; sa date exacte reste inconnue.
Le niveau de détail diffère entre résumés officiels et dispositifs intégraux ; conserver source_level pour toute comparaison de fréquence.
Une décision peut sanctionner plusieurs organismes et contenir plusieurs composantes : le nombre de décisions ne correspond pas nécessairement au nombre national d’amendes.
Les montants sont ceux des décisions retenues, avec les recours connus signalés séparément ; ils ne représentent pas les encaissements ni les montants définitifs.
La mention définitive ou non définitive reprend la base officielle au jour de collecte ; ce n’est pas une vérification juridictionnelle indépendante.
Les statuts du registre UODO ont été recoupés avec les décisions et actualités officielles de recours jusqu’au 25 octobre 2026; certains libellés du registre ne reflètent pas les arrêts ultérieurs.
Une décision de 2021, une de 2022, deux de 2023 et deux de 2024 absentes du corpus initial sont documentées dans les annexes officielles ; pour DKN.5131.35.2022, le motif détaillé et le destinataire ne sont pas publics dans l’annexe consultée.
La sanction Virgin Mobile de 2020 ayant été annulée, seul le montant de la décision de remplacement du 16 novembre 2022 (1 599 395 PLN) est retenu ; la somme initiale de 1 968 524 PLN n’entre plus dans le calcul.
Le rapport annuel 2021 confirme 18 décisions dont une purement télécom, soit 17 décisions RGPD ; le rapport annuel 2024 confirme 22 décisions et 13 907 740,96 PLN ; le rapport 2023 confirme 30 décisions et 1 230 331,28 PLN ; le rapport 2022 confirme 19 décisions dont une purement télécom, soit 18 décisions RGPD ; le rapport 2025 confirme 20 décisions. Les montants et les références du corpus correspondent aux listes officielles.
Le registre UODO conserve parfois des notices relatives à des sanctions initiales ensuite annulées ou remplacées ; les dates, montants et recours ont été recoupés avec les rapports annuels et la jurisprudence lorsque signalés.
Le rapport 2021 indique 11 février pour DKN.5131.7.2020, mais la décision et son historique officiels indiquent 11 janvier 2021 ; la date de la décision elle-même prévaut.
L’annexe 2021 liste 18 sanctions dont une purement télécom (DKN.5131.10.2020) ; 17 décisions RGPD sont retenues. Le montant rétrospectif 2021 du rapport 2022 diffère des lignes individuelles de l’annexe 2021 ; le corpus s’appuie sur ces lignes et sur les décisions publiées.
Le rapport annuel UODO 2019 décrit huit sanctions monétaires. Trois sanctions pour vidéosurveillance (communauté de copropriétaires, gestionnaire immobilier et société de sécurité) ne portent pas de date et référence individuelles dans les sources publiques retrouvées ; elles sont exclues de ce jeu de décisions vérifiables. La sanction Morele.net de 2019 a été annulée puis remplacée en 2024, sans double comptage.
Quelques montants historiques restent des sanctions initialement imposées malgré une annulation totale ou partielle connue (notamment DKN.5131.51.2021, ZSZZS.440.768.2018 et ZSPR.421.3.2018) ; chaque dossier porte un avertissement de statut et la somme du corpus ne représente pas des sommes définitivement dues.
Explorer les dossiers repérés
Ce corpus de travail reste soumis à la vérification des dates, du fondement juridique et des recours. Lorsque les motifs sont renseignés, les thèmes décrivent les constats initiaux des autorités ; les évolutions judiciaires connues sont signalées sur les dossiers.
Ce que couvre la sélection : France
Décisions récentes individuellement documentées dans les sources officielles consultées au 25 octobre 2026. Le registre s’arrête au 2 avril 2026 ; trois décisions ultérieures sont documentées par des communiqués. Les bilans agrégés de procédures simplifiées ne permettent pas de reconstruire toutes les décisions. Ce corpus ne représente pas l’intégralité des sanctions prononcées.
Autorités couvertes : CNIL
Montants initialement prononcés, hors astreintes, sauf la sanction SAN-2023-025 ramenée de 75 000 € à 50 000 € par le Conseil d’État en 2026. Les autres recours et le paiement ne sont pas vérifiés systématiquement. Une amende peut couvrir plusieurs manquements et ne donne pas le prix d’une erreur.
Les thèmes les plus cités dans cette sélection
Sur 200 dossiers ; plusieurs thèmes possibles par dossier. Les fréquences ne se comparent pas entre pays, car les publications et périodes diffèrent.
200 dossiers dans la sélection
EXTIA
300 000,00 €Décision : 21/07/2026 · CNIL
Des demandes d’effacement n’avaient pas été traitées. Des personnes n’avaient pas été informées du résultat de leur demande, ou l’avaient été tardivement.
Source et détails du dossier
Fiche officielle : SAN-2026-010 · Texte de la décision
Montant initial prononcé, sans actualisation systématique des recours.
Recours et paiement non vérifiés. Montant initial hors astreintes.
HOPITAL PRIVE DE LA LOIRE
500 000,00 €Décision : 21/07/2026 · CNIL
La sécurité des dossiers patients était insuffisante. L’hôpital n’avait pas informé directement les tiers de confiance dont les données avaient été dérobées.
Source et détails du dossier
Fiche officielle : SAN-2026-009 · Texte de la décision
Montant initial prononcé, sans actualisation systématique des recours.
Recours et paiement non vérifiés. Montant initial hors astreintes.
IQVIA OPERATIONS FRANCE
5 000 000,00 €Décision : 26/05/2026 · CNIL
Les entrepôts de santé ne respectaient pas toutes les conditions de leurs autorisations, notamment pour la sécurité, l’information et l’opposition. Le logiciel de pharmacie pouvait transmettre des données malgré un refus de transmission.
Source et détails du dossier
Fiche officielle : SAN-2026-008 · Texte de la décision
Montant initial prononcé, sans actualisation systématique des recours.
Recours et paiement non vérifiés. Montant initial hors astreintes.
- Les entrepôts de santé ne respectaient pas toutes les conditions autorisées. Source
- Des patients n’étaient pas informés de la transmission de leurs données. Source
- Les conditions autorisées concernant l’exercice du droit d’opposition n’étaient pas respectées. Source
- Les conditions de sécurité prévues par les autorisations des entrepôts de santé n’étaient pas toutes respectées. Source
- Le logiciel de pharmacie pouvait transmettre des données malgré un refus de transmission. Source
Exploitant de boutiques toilettes
7 500,00 €Décision : 02/04/2026 · CNIL
La CNIL relève des manquements concernant la licéité du dispositif vidéo, la minimisation des données, l’encadrement des sous-traitants et l’analyse d’impact.
Source et détails du dossier
Montant initial prononcé, sans actualisation systématique des recours.
Recours et paiement non vérifiés. Montant initial hors astreintes.
Entreprise d’hébergement touristique
3 000,00 €Décision : 26/03/2026 · CNIL
La sanction concerne la minimisation des données, leur durée de conservation et l’encadrement des relations avec les sous-traitants.
Source et détails du dossier
Montant initial prononcé, sans actualisation systématique des recours.
Recours et paiement non vérifiés. Montant initial hors astreintes.
Organisateur d’évènements et vendeur de billets
15 000,00 €Décision : 26/03/2026 · CNIL
La sanction porte sur la conservation et la licéité des traitements, l’information des personnes et le droit à l’effacement. Des manquements au consentement et à l’information sur les cookies sont aussi mentionnés.
Source et détails du dossier
Montant initial prononcé, sans actualisation systématique des recours.
Recours et paiement non vérifiés. Montant initial hors astreintes.
Entreprise de vente à distance sur catalogue spécialisé
5 000,00 €Décision : 12/03/2026 · CNIL
La CNIL relève des manquements à l’information sur l’exercice des droits et au droit d’accès.
Source et détails du dossier
Montant initial prononcé, sans actualisation systématique des recours.
Recours et paiement non vérifiés. Montant initial hors astreintes.
Association facilitant l’accès aux soins dentaires
6 000,00 €Décision : 05/03/2026 · CNIL
L’association a été sanctionnée pour des manquements à l’information des personnes et à la sécurité des données.
Source et détails du dossier
Montant initial prononcé, sans actualisation systématique des recours.
Recours et paiement non vérifiés. Montant initial hors astreintes.
Association religieuse
10 000,00 €Décision : 29/01/2026 · CNIL
La sanction concerne la licéité de la vidéoprotection et l’information des personnes sur ce dispositif.
Source et détails du dossier
Montant initial prononcé, sans actualisation systématique des recours.
Recours et paiement non vérifiés. Montant initial hors astreintes.
Établissement public de transport urbain
20 000,00 €Décision : 29/01/2026 · CNIL
La CNIL relève des manquements à la licéité de la vidéoprotection, à l’information des personnes et à la sécurité des données.
Source et détails du dossier
Montant initial prononcé, sans actualisation systématique des recours.
Recours et paiement non vérifiés. Montant initial hors astreintes.
Les fiches candidates en CSV et le fichier JSON sont conservés pour la traçabilité. Aucun total national ni ratio par habitant n’y est publié dans cette version. La méthode et le journal d’audit documentent les sources, corrections et limites. Une future analyse rapportera les montants vérifiés à la population Eurostat, en indiquant pour chaque pays la période, la couverture, les montants inconnus et les suites de recours connues.