# Audit des décisions financières de protection des données — 25 octobre 2026

Cet audit reprend les dix pays de la [méthode](README.md) et les **1 044 fiches affichées**. L'unité visée est une **décision individuelle imposant une amende RGPD** : plusieurs amendes dans une même décision ne créent pas plusieurs dossiers. Une date d'annonce, une année de rapport et une somme annuelle ne sont jamais transformées en date ou en décision individuelles. Aucune série nationale des 200 dernières amendes RGPD n'est certifiée ; aucun total ni ratio par habitant n'est publié dans cette version.

Les entrées du générateur et leurs sources sont dans `tools/europe-fines/inputs/`. Les colonnes des [fiches CSV](cases.csv) distinguent date, type de date, référence, lien source, montant d'origine, révision connue et qualification juridique disponible. Une fiche candidate peut être hors RGPD strict : son maintien dans le corpus de travail permet de retracer l'exclusion et ne vaut pas inclusion dans une analyse des coûts.

## Contrôles par pays

### France — 200 fiches candidates

Les 200 fiches ont une date au jour près issue de la [liste CNIL](https://www.cnil.fr/fr/les-sanctions-prononcees-par-la-cnil), mais **35 seulement** portent un numéro de décision individuel dans le fichier source. Parmi celles-ci, 29 textes vérifiés soutiennent une sanction RGPD. Six décisions référencées, totalisant **537,25 M€ de montants initiaux**, sanctionnent uniquement des manquements relatifs aux cookies ou à la prospection électronique ; deux autres fiches, totalisant **1 M€**, concernent uniquement l'autorisation nationale de traitement de données de santé selon le [Conseil d'État](https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2026-02-13/498628). Vingt-deux résumés sans texte individuel semblent concerner seulement les cookies : leur qualification reste *probable*, et non confirmée.

La [CNIL a annoncé 23 sanctions simplifiées au premier semestre 2026](https://www.cnil.fr/fr/23-nouvelles-sanctions-simplifiees), alors que la liste exploitable consultée ne donne qu'une partie des décisions individuelles. La [procédure simplifiée ne permet pas la publicité des décisions](https://www.cnil.fr/fr/missions/mission-4-controler-et-sanctionner). Cette limite empêche de certifier une chronologie complète des 200 dernières amendes. Le [Conseil d'État](https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2025-12-23/492830) a ramené l'amende d'Amazon France Logistique de **32 à 15 M€** ; le corpus conserve les deux montants. Le jeu CNIL plus large utilisé ailleurs sur le site reste inchangé ; ces qualifications sont appliquées uniquement à ce corpus européen.

### Allemagne — 102 fiches candidates

Les [dix-huit autorités fédérale et régionales](https://www.datenschutzkonferenz-online.de/datenschutzaufsichtsbehoerden.html) ne publient pas de registre national commun des amendes. Les 102 fiches observées ont **zéro date exacte de décision et zéro référence formelle individuelle** dans leur état actuel ; 44 ont un montant attribuable. Les rapports annuels et communiqués peuvent mentionner plusieurs amendes sans donner une fiche propre à chacune. Ces observations ne permettent ni de sélectionner les 200 dernières décisions ni de construire un total national comparable.

### Espagne — 134 fiches candidates

Le [registre AEPD](https://www.aepd.es/informes-y-resoluciones/resoluciones) donne 123 dates de signature dans la sélection actuelle ; onze sanctions supplémentaires du flux officiel ont une référence de procédure, mais leur date de signature n'a pas été vérifiée. Pendant l'audit, 31 des pages 0 à 49 du registre testé sont restées inaccessibles. Le [rapport 2025 de l'AEPD](https://www.aepd.es/memorias/memoria-aepd-2025.pdf) indique 325 amendes dans son tableau annuel, sans fournir pour ce chiffre une liste de 325 décisions monétaires strictement RGPD datées et référencées. Vingt-neuf autres procédures PS ont été contrôlées dans leur dispositif : aucune n'a fourni une nouvelle amende RGPD admissible avec date vérifiée. Le corpus de 134 n'établit donc pas le seuil des 200 dernières.

### Lituanie — 40 fiches candidates

Les décisions de la [VDAI](https://vdai.lrv.lt/lt/sprendimai/vdai-sprendimai-baudos-nurodymai-ir-kt/) et des jugements liés permettent de documenter 40 dossiers : **35** ont une date exacte, **20** une référence formelle, et **trois** un montant individuel inconnu. Huit dossiers ont été ajoutés pendant ce contrôle. Les rapports VDAI 2019–2025 totalisent **108 amendes administratives**, dont la qualification RGPD, la persistance après recours et les références individuelles ne sont pas toutes établies dans les rapports. L'écart avec les 36 fiches antérieures à 2026 n'est pas un nombre certifié d'amendes RGPD manquantes. Une seconde autorité lituanienne compétente en matière de données est hors du périmètre VDAI retenu ici. Le registre 2026 n'a pas fait l'objet d'un balayage exhaustif.

### Pologne — 141 fiches candidates

Le [filtre des amendes UODO](https://orzeczenia.uodo.gov.pl/search?k=1.10.104) et les [annexes des rapports annuels](https://uodo.gov.pl/pl/487/2279) fournissent **141 dossiers référencés**, dont **140** avec date exacte. Six cas absents du fichier précédent ont été ajoutés depuis les annexes. Les amendes initiales [Morele](https://orzeczenia.uodo.gov.pl/search?k=1.10.104) et [Virgin Mobile](https://orzeczenia.nsa.gov.pl/doc/78C475E4F7) ont été annulées puis remplacées ; chaque affaire est comptée une fois au montant de remplacement documenté. Trois amendes de 2019 sont rapportées sans date et référence individuelles utilisables. D'autres suites de recours ne sont pas réconciliées systématiquement ; les montants du fichier ne sont pas tous des sommes définitivement dues.

### Lettonie — 40 fiches candidates

Le [registre DVI](https://www.dvi.gov.lv/lv/lemumi) et les PDF individuels donnent **39 dates exactes**. Les textes vérifient **32 amendes sous l'article 83 du RGPD**, dont 31 exactement datées ; une autre sanction relève du droit national tout en étant liée à une enquête RGPD. Le fondement de sept fiches reste à vérifier. Quatorze sanctions procédurales fondées seulement sur l'article 3(4) de la loi administrative lettone ont été exclues, dont une fiche précédemment présente. Certains numéros de décision sont caviardés : le lien vers le PDF officiel individualise alors le dossier. Le [rapport DVI 2021](https://www.dvi.gov.lv/sites/dvi/files/media_file/datu-valsts-inspekcijas-darbibas-parskats-par-2021.gadu_.pdf) mentionne encore une amende RGPD de 500 € sans date ni document individuel vérifiable, qui reste une piste et non une ligne inventée.

### Italie — 200 fiches affichées sur 231 observées

Le contrôle de l'[archive du Garante](https://www.garanteprivacy.it/home/ricerca/-/search/tipologia/Ordinanza%20ingiunzione%20o%20revoca) et des publications connexes a relevé **231 décisions monétaires référencées**. Les 200 plus récentes *observées*, par date de décision, vont du **4 décembre 2025 au 7 octobre 2026**. Le montant est connu pour 193 d'entre elles et caviardé pour sept. Cette sélection inclut des composantes de droit national ; par exemple, [Tirrenia Hospital](https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10257334) porte une amende de 1 000 € uniquement nationale. L'archive est mutable, certains dispositifs sont masqués et la date initiale de publication n'est pas toujours connue. Les 200 dernières amendes RGPD nationales ne peuvent donc pas être certifiées malgré les 200 fiches affichées.

### Estonie — 2 fiches candidates

Le [rapport AKI 2024](https://aastaraamat.aki.ee/sites/default/files/andmekaitse-inspektsiooni-aastaraamat-2024.pdf) mentionne **35 décisions d'amende** depuis mai 2018, dont deux annulées, selon des fondements de protection des données qui ne sont pas tous individualisés dans une série publique. Deux sanctions liées au RGPD disposent ici d'une date et d'une référence propres. Les paiements coercitifs et une amende fondée seulement sur le droit national sont exclus. Les publications ne permettent pas de construire 200 décisions RGPD nationales.

### Luxembourg — 55 fiches candidates

L'[index public de la CNPD](https://cnpd.public.lu/fr/decisions-sanctions.html) contient 92 décisions de toutes natures pour 2021–2025, dont **55 sanctions RGPD** identifiées et liées ici à un document propre. Une autre amende de **18 000 €** se déduit du bilan 2025, sans date ni référence individuelle publiée : elle n'a pas été ajoutée comme dossier. L'ancienne sanction Amazon de 746 M€, [annulée](https://cnpd.public.lu/fr/actualites/national/2026/03/arret-ca-amazon-cnpd.html), reste exclue. Le catalogue public ne prouve pas un recensement national complet des 200 dernières sanctions.

### Grèce — 130 décisions numérotées et datées

L'[archive officielle des actes de la HDPA](https://www.dpa.gr/el/enimerwtiko/prakseisArxis) a fourni **190 résultats** pour une recherche par mot-clé relatif aux amendes. Après examen individuel, **129 décisions** répondent au critère d'une nouvelle amende RGPD ; le [PDF officiel de la décision 1/2026](https://www.dpa.gr/sites/default/files/2026-01/1_2026%20anonym.pdf), retrouvé hors de ces résultats, porte l'ensemble à **130**. Chaque décision retenue a une référence numérotée, une date exacte et un PDF individuel. Cette sélection officielle ne prouve ni qu'il s'agit des 130 décisions nationales les plus récentes, ni que la recherche par mot-clé est exhaustive.

Parmi les 130 décisions, **99** ont un total initial RGPD attribuable à la décision d'après le résumé officiel ou le dispositif du PDF ; **31** n'ont pas de total RGPD distinct vérifié. Une même décision peut imposer plusieurs amendes, sans créer plusieurs lignes. Parmi les 190 résultats du mot-clé, **47** portent une amende relevant uniquement d'un autre droit, **huit** n'ont pas encore une qualification certaine et **six** ne comportent pas de nouvelle amende ou ne sont qu'un acte modificatif. Les montants composites fondés sur le RGPD et un autre régime ne sont pas attribués entièrement au RGPD.

La [fiche HDPA de la décision 13/2026](https://www.dpa.gr/el/enimerwtiko/prakseisArxis/epiboli-prostimoy-se-nosokomeio-gia-mi-tirisi-tehnikon-kai-organotikon) donne le **7 mai 2026**, tandis que son [PDF signé](https://www.dpa.gr/sites/default/files/2026-09/13_2026%20anonym.pdf) porte le **7 juillet 2026** : le corpus retient cette dernière date. La plupart des autres dates proviennent des fiches individuelles et leurs PDF signés n'ont pas tous été revérifiés pour la date. Les recours et paiements ne sont pas suivis systématiquement. Le [fichier public des 191 actes examinés](greece-screening.json) expose les inclusions, exclusions, références et provenances des montants. Aucun total national ni ratio par habitant n'est déduit de cette sélection.

## Condition de reprise de l'analyse par habitant

Il faut d'abord une liste vérifiable des dernières décisions admissibles pour chaque autorité et une justification de la couverture nationale, puis séparer montant initial, montant après recours, réduction et somme encaissée. Les montants non publiés doivent rester inconnus. Une comparaison par population nécessiterait aussi d'indiquer les périodes et les décisions transfrontières. Les [données Eurostat](https://ec.europa.eu/eurostat/databrowser/view/tps00001/default/table?lang=fr) et les [taux BCE](https://data.ecb.europa.eu/data/datasets/EXR/EXR.D.PLN.EUR.SP00.A) restent sourcés dans les fichiers, sans générer de ratio dans cette version.