# Amendes CNIL : méthode et périmètre Version du 21 octobre 2026. Produit et analyse : Legiscope. Sources : CNIL et DILA/Légifrance. Ce travail indépendant n’est pas approuvé par ces organismes. ## Ce qui est compté Le corpus retient les décisions avec amende initiale les plus récentes qui sont individuellement documentées dans les sources officielles consultées. Le seuil est de 200 décisions, avec inclusion de toutes celles du même jour à la limite : 201 entrées, du 8 février 2023 au 21 juillet 2026. Les identifiants `cnil-YYYY-NNN` sont internes et ne sont pas des références de délibération. Le registre français consulté s’arrête au 2 avril 2026. Trois décisions ultérieures sont ajoutées à partir de communiqués individuels, recoupés avec les décisions publiées : IQVIA Operations France, Hôpital privé de la Loire et EXTIA. Les bilans agrégés de procédures simplifiées ne permettent pas de reconstruire toutes les décisions ni leurs chevauchements avec le registre. Cette sélection n’est donc ni un inventaire exhaustif des sanctions jusqu’en octobre 2026, ni une série annuelle complète. Une entrée est une décision pour le comptage des thèmes. Une ligne explicitement regroupée concernant deux organismes et deux amendes de 5 000 € le 12 décembre 2024 est exclue : le nombre de décisions n’est pas identifiable. Les descriptions anonymes identiques ne sont pas fusionnées automatiquement. Une description plurielle avec un seul montant ne permet pas de reconstituer des destinataires individuels ; cette limite est signalée dans la fiche concernée. Les astreintes, rappels à l’ordre, clôtures et autres mesures sans nouvelle amende initiale sont exclus. Les décisions prises par une autre autorité ne deviennent pas des décisions françaises parce que la CNIL les mentionne. Les entrées plus anciennes que la date de coupure ne sont pas incorporées au classement. ## Thèmes et textes sources Le classement commun utilise le résumé du registre ou, pour les trois ajouts, les constats exposés dans le communiqué. Chaque thème doit être soutenu par un passage de la source. Les extraits du registre sont conservés à l’identique ; les passages issus des communiqués sont identifiés comme des reformulations de Legiscope. Le dictionnaire complet figure dans `themes.json`. Une décision peut recevoir plusieurs thèmes ; un thème compte au maximum une fois par décision. Les pourcentages ont pour dénominateur les décisions de la sélection affichée et ne s’additionnent pas. Le filtre « registre seul » retire les trois communiqués, qui peuvent être plus détaillés que les résumés du registre. L’absence d’un thème signifie qu’il n’a pas été codé dans ce résumé, et non que l’organisme respectait nécessairement cette obligation. Le consentement et l’information liés uniquement aux cookies restent dans le thème cookies. Un contexte de santé n’implique pas à lui seul un manquement relatif aux données sensibles. Une injonction ne démontre pas un défaut de coopération. Lorsque le résumé mentionne la prospection sans préciser le grief, une catégorie de repli conserve cette incertitude. Les secteurs sont de larges regroupements éditoriaux de l’activité publiée ; aucune taille d’entreprise n’est déduite du montant. Pour les décisions publiques rattachées au corpus, le dispositif a été consulté afin de vérifier les destinataires, montants et fondements de l’amende. Cela ne revendique pas une analyse intégrale de tous les motifs. Les constats détaillés présents uniquement dans le texte intégral ne sont pas ajoutés au classement commun des résumés. Les procédures simplifiées non publiées sont documentées par le résumé officiel seul. Les noms publiés actuellement dans les décisions sont utilisés lorsqu’ils sont vérifiés ; l’anonymisation actuelle est conservée. Une marque connue ne remplace pas automatiquement le destinataire juridique. ## Montants Les montants sont ceux initialement prononcés. Les recours, annulations ultérieures, réductions et paiements ne sont pas vérifiés. Une décision peut comporter plusieurs amendes distinctes : elles restent séparées dans `fines.csv` et dans le classement des plus grandes amendes. Une simple ventilation d’une seule amende entre plusieurs fondements juridiques ne crée pas plusieurs amendes. Exemple : la décision Google de 2025 contient deux amendes, 200 M€ et 125 M€, soit un total de décision de 325 M€. Le classement des amendes individuelles affiche ces deux montants. Les décisions avec une ventilation interne conservent une seule amende et décrivent ses allocations. Une amende peut couvrir plusieurs manquements. Aucun montant n’est attribué causalement à un thème. Les règles appliquées peuvent relever du RGPD, de la loi Informatique et Libertés ou du code des postes et des communications électroniques. Toutes les sanctions du corpus ne sont donc pas des « amendes RGPD » au sens strict. ## Contrôles et corrections Trois agents ont confronté le périmètre produit, les sources et l’intérêt pour le public. Une première revue à 20 décisions puis une revue indépendante à 100 décisions ont précédé l’extension au corpus final. La validation rejette les identifiants dupliqués, thèmes inconnus, preuves manquantes, citations du registre non retrouvées et incohérences entre montants des amendes et total de décision. Les corrections de source sont conservées dans `corrections.json`. Elles comprennent la date de décision de l’Hôpital privé de la Loire (21 juillet, distincte de sa publication du 3 septembre) et un montant de 17 000 € retrouvé dans la version anglaise du registre lorsque la cellule française répète un autre champ. Les résumés et conseils pratiques de Legiscope sont distincts des textes de l’autorité. Les liens permettent de retourner aux sources. La fréquence dans cette sélection ne mesure ni le risque individuel de contrôle, ni la fréquence des manquements dans la population des organisations. ## Fichiers et reproduction - `decisions.csv` : une ligne par décision, résumé rédigé par Legiscope et liens sources. - `fines.csv` : une ligne par amende distincte, rattachée à une décision. - `dataset.json` : données détaillées, extraits, preuves et dictionnaire des thèmes. - `theme-counts.csv` : décomptes des thèmes et comparaison au registre seul. - `aggregates.json` : agrégats reproductibles ; `themes.json` : règles de classement. - `exclusions.json`, `corrections.json`, `provenance.json` : traçabilité. - `checksums.json` : empreintes SHA-256 des fichiers de cette version. - `LICENCES.md` : conditions distinctes pour les contributions de Legiscope et les contenus sources. La génération dans le dépôt Legiscope utilise `python3 tools/cnil/build_dataset.py`, à partir de l’inventaire figé, des cinq lots individuellement codés et des vérifications des décisions publiques. Le fichier `provenance.json` fournit les empreintes des entrées. Aucun modèle ni appel réseau n’est nécessaire pour reproduire les exports à partir de ces entrées. ## Sources principales - [CNIL — Les sanctions prononcées par la CNIL](https://www.cnil.fr/fr/les-sanctions-prononcees-par-la-cnil), extrait le 21 octobre 2026. - [CNIL — Sanctions issued by the CNIL](https://www.cnil.fr/en/investigation-powers-cnil/sanctions-issued-cnil), rapprochement du montant manquant. - [DILA — corpus officiel CNIL](https://echanges.dila.gouv.fr/OPENDATA/CNIL/), fichiers de décisions et mises à jour disponibles jusqu’au 20 octobre 2026. - [CNIL — IQVIA](https://www.cnil.fr/fr/donnees-sante-sanction-5-millions-iqvia), [Hôpital privé de la Loire](https://www.cnil.fr/fr/sanction-hopital-prive-loire), [EXTIA](https://www.cnil.fr/fr/sanction-non-respect-droits-personnes-extia), consultés le 21 octobre 2026. - [CNIL — 23 nouvelles sanctions simplifiées](https://www.cnil.fr/fr/23-nouvelles-sanctions-simplifiees), bilan agrégé signalé comme limite de couverture, non transformé en décisions individuelles inventées.