Suivi des amendes et sanctions en matière de vie privée
Amendes, transactions, actions en justice et nouvelles règles de l'UE, du Royaume-Uni, des États-Unis et d'ailleurs, vérifiées à partir des annonces des autorités. Recherchez par pays, loi, entreprise ou motif, et voyez comment éviter les mêmes erreurs.
- Affaires et règles
- 225
- Pays
- 41
- Dernière mise à jour
Échéances à venir
déc. 2026
Apple ATT prompt changes for EU apps in iOS 27.210 déc. 2026
Australia Children's Online Privacy Code due to be registered10 déc. 2026
Australia: privacy policies must disclose automated decision-making1 janv. 2027
Colorado automated decision-making law (SB 26-189) takes effect1 janv. 2027
Delaware privacy law amendments (HB 380) take effect1 janv. 2027
Louisiana Data Privacy Act takes effect
Dernières amendes, actions en justice et règles
Dernière mise à jour
Aucune affaire ne correspond à votre recherche.
- Règle ou échéanceÀ venir
India DPDP Rules: core data fiduciary obligations take effect
India Ministry of Electronics and IT (MeitY), Inde, Autres lois
Motif
Il s'agit de la troisième phase des DPDP Rules publiées en novembre 2025. Les règles sur l'information et le consentement, les obligations des data fiduciaries, les règles sur les données des enfants, les droits des personnes concernées et les règles sur les transferts transfrontaliers s'appliquent 18 mois après la publication.
Résultat
En vigueur à partir du 13 mai 2027
- Règle ou échéanceÀ venir
Alabama Personal Data Protection Act takes effect
Alabama Legislature, Alabama, Lois des États américains
Motif
La loi HB 351 dote l'Alabama d'une loi complète sur la vie privée. Elle vise les entreprises qui traitent les données de plus de 25 000 consommateurs ou qui tirent plus de 25 % de leur chiffre d'affaires de la vente de données personnelles. L'Attorney General la fait appliquer, avec un délai de mise en conformité de 45 jours et des sanctions pouvant atteindre 15 000 $ par violation.
Résultat
En vigueur à partir du 1er mai 2027
- Règle ou échéanceÀ venir
IAB TCF 2.4 applies to mobile apps and CTV
IAB Europe, Union européenne, IAB TCF
Motif
Les applications et la TV connectée qui utilisent le Transparency and Consent Framework doivent passer au TCF 2.4. Les sites web sont passés à cette version le 23 octobre 2026.
Résultat
S'applique aux applications et à la CTV à partir du 23 février 2027
- Règle ou échéanceÀ venir
California Opt Me Out Act: browsers must offer an opt-out signal
California legislature, Californie, CCPA / CPRA
Motif
Les éditeurs de navigateurs web doivent intégrer un réglage qui envoie un signal de préférence de refus, comme Global Privacy Control.
Résultat
En vigueur à partir du 1er janvier 2027
- Règle ou échéanceÀ venir
CCPA automated decisionmaking technology (ADMT) rules apply
California Privacy Protection Agency, Californie, CCPA / CPRA
Motif
Les entreprises qui utilisent une technologie de prise de décision automatisée pour des décisions importantes concernant les consommateurs doivent respecter les règles ADMT du CCPA. Selon les mêmes règles, les attestations d'évaluation des risques sont dues au plus tard le 1er avril 2028, et les certifications d'audit de cybersécurité entre avril 2028 et avril 2030 selon le chiffre d'affaires.
Résultat
En vigueur à partir du 1er janvier 2027
- Règle ou échéanceÀ venir
Oklahoma consumer data privacy law (SB 546) takes effect
Oklahoma Legislature, Oklahoma, Lois des États américains
Motif
La loi SB 546 vise les responsables de traitement qui traitent les données de 100 000 consommateurs de l'Oklahoma, ou de 25 000 si plus de la moitié de leur chiffre d'affaires provient de la vente de données. Elle ne compte que les ventes contre de l'argent, n'impose pas de respecter les signaux universels de refus et conserve un délai de mise en conformité permanent de 30 jours.
Résultat
En vigueur à partir du 1er janvier 2027
- Règle ou échéanceÀ venir
Louisiana Data Privacy Act takes effect
Louisiana Legislature, Louisiane, Lois des États américains
Motif
La loi SB 386 (Act 502) s'applique aux entreprises qui réalisent plus de 25 M$ de chiffre d'affaires, qui traitent les données de 75 000 résidents, foyers ou appareils, ou qui tirent 50 % de leur chiffre d'affaires de la vente de données. Une information spécifique est obligatoire avant de vendre des données sensibles ou biométriques.
Résultat
En vigueur à partir du 1er janvier 2027
- Règle ou échéanceÀ venir
Delaware privacy law amendments (HB 380) take effect
Delaware General Assembly, Delaware, Lois des États américains
Motif
La loi HB 380 abaisse le seuil du Delaware Personal Data Privacy Act de 35 000 à 10 000 consommateurs, ajoute des catégories de données sensibles comme les données neuronales et impose des contrats et des vérifications préalables avant de communiquer des données à des tiers. Les consommateurs peuvent aussi demander la liste des tiers qui ont reçu leurs données.
Résultat
En vigueur à partir du 1er janvier 2027
- Règle ou échéanceÀ venir
Colorado automated decision-making law (SB 26-189) takes effect
Colorado General Assembly, Colorado, Lois des États américains
Motif
La loi SB 26-189 abroge et remplace le Colorado AI Act de 2024. Les déployeurs doivent prévenir les consommateurs avant qu'une décision automatisée influence de manière significative une décision importante. Après un résultat défavorable, ils doivent l'expliquer, proposer une correction et, lorsque c'est commercialement raisonnable, un examen humain.
Résultat
En vigueur à partir du 1er janvier 2027
- Règle ou échéanceÀ venir
Australia: privacy policies must disclose automated decision-making
Australian Parliament (Privacy and Other Legislation Amendment Act 2024), Australie, Autres lois
Motif
Selon les nouveaux APP 1.7 à 1.9, les entités qui utilisent des programmes informatiques pour prendre des décisions pouvant affecter fortement des personnes doivent indiquer dans leur politique de confidentialité quelles informations personnelles sont utilisées et quels types de décisions sont pris. Il s'agit seulement d'une obligation de transparence, sans droit de recours.
Résultat
En vigueur à partir du 10 décembre 2026
- Règle ou échéanceÀ venir
Australia Children's Online Privacy Code due to be registered
OAIC, Australie, Autres lois
Motif
L'OAIC doit enregistrer un Children's Online Privacy Code au plus tard le 10 décembre 2026 pour les réseaux sociaux et les autres services en ligne susceptibles d'être utilisés par des enfants. Ce code impose de ne collecter que le strict nécessaire, d'agir dans l'intérêt supérieur de l'enfant et de vérifier l'âge de façon raisonnable. Il renforce le consentement et le droit à l'effacement, et limite la prospection directe.
Résultat
Enregistrement attendu au plus tard le 10 décembre 2026 ; date d'entrée en vigueur pas encore fixée
- Règle ou échéanceÀ venir
Apple ATT prompt changes for EU apps in iOS 27.2
Apple, Union européenne, Règle de plateforme
Motif
À partir d'iOS 27.2, les applications distribuées en Allemagne, en France, en Italie, en Pologne et en Roumanie ne peuvent utiliser que la nouvelle version de la demande d'autorisation de suivi d'Apple. Elle abandonne le ton d'avertissement et ajoute un lien vers plus d'informations. L'autorité allemande de la concurrence a donné à Apple quatre mois à compter de sa décision d'août 2026 pour la déployer, ce qui mène à la mi-décembre 2026.
Résultat
Échéance allemande à la mi-décembre 2026
805 M €
Motif
L'application Facebook pour Android lisait les photos, les vidéos et leurs métadonnées dans la galerie du téléphone pour suggérer des publications. La fonction était activée par défaut, sans consentement spécifique.
Résultat
Amende de 805 M€ et 60 jours pour désactiver la fonction par défaut et demander un consentement distinct
11 M €
Motif
L'outil en libre-service « Download My Data » omettait certaines données personnelles, ou n'en donnait que des résumés, sans prévenir les utilisateurs.
Résultat
Amende de 11 M€, rappel à l'ordre et injonction de se mettre en conformité sous trois mois ; Match annonce faire appel
2,975 M $US
Motif
FedEx affirmait ne pas vendre ni partager de données personnelles alors qu'il utilisait des traceurs publicitaires pour de la publicité comportementale inter-contextes. Il ne respectait pas non plus les signaux de préférence de refus, et ses réglages de cookies et son formulaire de demande ne fonctionnaient pas pour les traceurs.
Résultat
Amende de 2,975 M$, plus un inventaire trimestriel des traceurs et des tests des mécanismes de refus
Motif
Les outils de session replay exigent un consentement préalable, et le bandeau de consentement doit mentionner expressément le session replay dès son premier niveau.
Résultat
Recommandation définitive publiée
1,8 M $US
Motif
Lyft vendait ou partageait les données des passagers pour de la publicité ciblée dans l'application, sans proposer de refus dans l'application. Les utilisateurs connectés devaient suivre des liens vers un formulaire web et saisir à nouveau des informations que l'entreprise avait déjà.
Résultat
Sanction civile de 1,8 M$, refus possible dans l'application et information des Californiens
Motif
Les plateformes de gestion du consentement qui utilisent le Transparency and Consent Framework devaient mettre en place les mentions du TCF 2.4 sur les sites web à cette date.
Résultat
S'applique aux sites web à partir du 23 octobre 2026
7 M €
Motif
L'application Fnac utilisait un traceur qui envoyait un identifiant utilisateur et les produits consultés à un service de recommandation tiers, même lorsque les utilisateurs avaient refusé le suivi.
Résultat
Amende de 7 M€ et injonction de corriger le consentement sous un mois, sous astreinte de 10 000 € par jour
- Règle ou échéance
EU Council agrees its Digital Omnibus position on cookies
Council of the EU, Union européenne, ePrivacy (règles cookies)
Motif
Six usages de cookies n'exigeraient plus de consentement, et les sites devraient attendre quatre mois avant de redemander après un refus. La proposition n'est pas encore adoptée.
Résultat
Position du Conseil adoptée ; reste à négocier avec le Parlement
6 M $US
Motif
Une violation de données en 2023 a exposé les données de près de 7 millions de clients, dont plus de 855 000 Californiens. La Californie s'est aussi opposée, au titre de son Genetic Information Privacy Act, à la vente des données génétiques des clients dans le cadre de la faillite sans consentement distinct.
Résultat
Accord de 6 M$ devant le tribunal des faillites, en attente d'approbation
403 M €
Motif
Les paramètres Activité sur le Web et les applications, Historique des positions et Précision de la localisation de Google ont traité les données de localisation des personnes de façon illicite et sans transparence suffisante entre mai 2018 et février 2020. Les utilisateurs pouvaient ignorer que leur localisation servait à cibler des publicités ou à deviner leurs centres d'intérêt, et les données étaient conservées trop longtemps.
Résultat
403 M€ d'amendes ; Google doit mettre ses traitements en conformité sous 6 mois
36 400 $US
Motif
Ce courtier en données de Virginie vendait des informations personnelles de consommateurs sans s'être inscrit au registre des courtiers en données de Californie avant l'échéance de 2025.
Résultat
Amende de 36 400 $ ; obligation de publier des statistiques sur les demandes d'exercice des droits et de traiter les suppressions via DROP
153,77 M R$
Motif
TikTok traitait les données d'enfants et d'adolescents sans base légale valable, aussi bien dans son fil accessible sans connexion qu'à l'inscription. L'âge déclaré était le seul contrôle contre l'inscription des moins de 13 ans.
Résultat
Amende de 153,7 M R$ pour cinq violations de la LGPD, injonction de suppression et plan de mise en conformité
824,99 M €
Motif
Entre 2018 et 2022, le logiciel d'Uber suspendait ou désactivait définitivement de façon automatique les comptes de chauffeurs soupçonnés de fraude ou mal notés, sans examen humain. Les chauffeurs n'étaient pas non plus correctement informés de cette prise de décision automatisée.
Résultat
Amende de 824,99 M€ ; Uber a annoncé qu'il la contesterait
400 M $US
Motif
Le DOJ a porté plainte en août 2024, après une enquête de la FTC. Il reprochait à TikTok d'avoir sciemment laissé des enfants de moins de 13 ans créer des comptes, d'avoir collecté leurs données sans consentement parental, de ne pas avoir donné suite aux demandes de suppression des parents et d'avoir violé une ordonnance de consentement de la FTC de 2019.
Résultat
Accord de 400 M$ : 300 M$ immédiatement et 100 M$ une fois annulé le consent decree Musical.ly de 2019. Aucune reconnaissance de responsabilité ni nouvelle injonction.
275 000 $US
Motif
De 2018 à 2022, des technologies de suivi sur le site de TaxAct envoyaient à des partenaires publicitaires des informations sur les contribuables, comme leurs revenus, leurs remboursements et leurs personnes à charge, sans information préalable et contrairement à ses engagements de confidentialité.
Résultat
275 000 $ et un programme de conformité sur les technologies de suivi avec deux audits indépendants
52 400 $US
Motif
Ce courtier en données de Boston n'a pas respecté l'échéance de 2025 pour s'inscrire au registre des courtiers en données de Californie prévu par le Delete Act.
Résultat
Amende de 52 400 $
116 490 $US
Motif
Ce courtier en données de l'Iowa s'est inscrit en retard et exigeait des Californiens les quatre derniers chiffres de leur numéro de sécurité sociale avant qu'ils puissent refuser la vente de leurs données.
Résultat
Amende de 116 490 $ et changement de pratiques ; première action fondée à la fois sur le CCPA et le Delete Act
10,3 Md ₩
Motif
Les outils publicitaires de TikTok collectaient l'activité des utilisateurs sur d'autres sites et applications et la reliaient à leur compte pour des publicités personnalisées. Ce n'était pas clairement indiqué, et les utilisateurs devaient consentir pour utiliser l'application.
Résultat
Amende de 10,3 milliards de KRW ; Apple a reçu lors de la même séance une amende de 252 M KRW pour des enregistrements Siri
- Action en justice
NFL Enterprises (Kimmons v. NFL Enterprises)
Alameda County Superior Court, Californie, CIPA (écoutes)
Motif
La plainte recense 182 traceurs tiers sur NFL.com avant tout choix de consentement et 186 après un refus du visiteur. Il s'agit d'allégations.
Résultat
Plainte déposée ; aucune décision à ce stade
- Règle ou échéance
UK GDPR: people can complain directly to organisations
UK Parliament, Royaume-Uni, RGPD britannique
Motif
Les organisations doivent recevoir et traiter elles-mêmes les plaintes relatives à la protection des données, en application d'une modification apportée par le Data (Use and Access) Act 2025.
Résultat
En vigueur à partir du 19 juin 2026
- Règle ou échéance
Google Signals no longer controls Google Ads data from Analytics
Google, Mondial, Règle de plateforme
Motif
Depuis le 15 juin 2026, ce sont les paramètres du mode Consentement, et non plus Google Signals, qui déterminent si Google Analytics collecte les cookies et identifiants Google Ads. Google Signals sert désormais seulement à relier les données Analytics aux utilisateurs connectés pour les rapports. Les réglages de personnalisation des annonces passeront au mode Consentement plus tard en 2026.
Résultat
S'applique à partir du 15 juin 2026
624,681 Md ₩
Motif
Une gestion défaillante des clés de signature a permis à un ancien salarié d'accéder aux données d'environ 33 millions d'utilisateurs. Coupang collectait aussi, sans consentement, des données comportementales sur environ 11 millions d'utilisateurs provenant de sites et d'applications tiers, pour de la publicité ciblée.
Résultat
624,681 milliards de KRW de pénalités (423,575 milliards pour la sécurité, 201,106 milliards pour les données comportementales) plus une amende de 16,8 M KRW
300 000 £GB
Motif
L'entreprise a envoyé plus de 5,5 millions de SMS marketing non sollicités, dont de faux messages d'huissiers. Ils ont donné lieu à plus de 60 000 signalements au service anti-spam 7726.
Résultat
Amende de 300 000 £
12,75 M $US
Motif
GM a vendu à Verisk et LexisNexis des données de conduite et de localisation OnStar concernant des centaines de milliers de Californiens, sans les informer, alors que sa politique de confidentialité affirmait ne pas vendre ce type de données.
Résultat
Sanction de 12,75 M$ (la plus élevée à ce jour au titre du CCPA), interdiction de vendre des données de conduite pendant 5 ans et suppression des données
Motif
Ce courtier en données vendait, à l'insu des utilisateurs, des données de localisation de centaines de millions d'appareils pouvant révéler des visites dans des lieux médicaux et religieux.
Résultat
L'ordonnance issue de l'accord interdit la vente de données de localisation sensibles sans consentement exprès ; aucune somme versée
- Règle ou échéance
CNIL recommendation on email tracking pixels
CNIL, France, ePrivacy (règles cookies)
Motif
Le régulateur français a précisé dans quels cas les pixels de suivi dans les e-mails exigent un consentement et comment le recueillir.
Résultat
Recommandation publiée
- Transaction
European Wax Center (Cumor v. European Wax Center)
Florida Circuit Court, Hillsborough County (class action), Floride, CIPA (écoutes)
5 M $US
Motif
Selon l'action collective, waxcenter.com utilisait des pixels et d'autres traceurs pour partager les données des visiteurs avec des tiers comme Meta sans consentement. European Wax Center nie toute faute.
Résultat
Accord collectif pouvant atteindre 5 M$, sans reconnaissance de responsabilité
100 M €
Motif
L'application de taxi envoyait les données de passagers et de chauffeurs finlandais et norvégiens, dont la localisation, les conversations, les coordonnées bancaires et les scans de permis de conduire, à des sociétés de Yandex en Russie sans garanties appropriées. Le chiffrement était inefficace, car les clés étaient elles aussi conservées en Russie jusqu'à fin 2023.
Résultat
Amende de 100 M€ infligée à MLU B.V. (successeur de Ridetech International) ; injonction de cesser les transferts vers la Russie ; l'entreprise annonce qu'elle la contestera
31,8 M €
Motif
Pendant 35 mois, un salarié a consulté sans raison professionnelle les données bancaires de 3 573 clients, dont des personnalités publiques, et la banque n'avait aucune mesure pour l'en empêcher. La banque avait d'abord indiqué au régulateur que seules neuf personnes étaient concernées.
Résultat
Amende de 31,8 M€
375 703 $US
Motif
Ford exigeait que les personnes vérifient leur adresse e-mail avant de traiter leurs demandes de refus, une étape que le CCPA n'autorise pas.
Résultat
Amende de 375 703 $
50 M $US
Motif
Meta a induit en erreur les utilisateurs de Facebook sur leur contrôle de l'accès à leurs données, notamment par des développeurs d'applications tiers, dans les faits à l'origine du scandale Cambridge Analytica.
Résultat
50 M$ de sanctions civiles et injonction de 3 ans sur l'accès des développeurs aux données (jugement de la Superior Court de San Francisco)
1,1 M $US
Motif
Les utilisateurs devaient accepter le suivi avant d'utiliser leurs billets ou les sites web. PlayOn renvoyait vers les outils de refus de la NAI et de la DAA au lieu des siens et ne respectait pas les signaux de préférence de refus.
Résultat
Amende de 1,10 M$, analyses de risques, consentement préalable (opt-in) pour les 13 à 15 ans
- Transaction
Limited Run Games (Carbone v. Limited Run Games)
E.D. New York (class action), États-Unis, VPPA
2,72 M $US
Motif
Selon les plaignants, les pages vidéo de l'entreprise utilisaient le Meta Pixel pour envoyer à Facebook, sans consentement, l'activité de visionnage des utilisateurs et des informations permettant de les identifier.
Résultat
Le tribunal a approuvé un accord collectif de 2,72 M$
14,473 M £GB
Motif
Reddit n'a pas vérifié l'âge des utilisateurs avant juillet 2025. Il n'avait donc aucune base légale pour traiter les données des moins de 13 ans qui utilisaient quand même le site. Il n'a pas non plus évalué les risques pour les enfants avant janvier 2025.
Résultat
Amende de 14,47 M£ ; Reddit a fait appel devant le First-tier Tribunal
2,75 M $US
Motif
Les refus, y compris les signaux Global Privacy Control, ne s'appliquaient qu'à un seul service de streaming et à un seul appareil, au lieu de tout le compte.
Résultat
Accord de 2,75 M$, la plus forte sanction au titre du CCPA à l'époque
Motif
Dans une plainte annoncée en janvier 2025, la FTC reprochait à GM et OnStar d'avoir collecté et vendu à des agences d'évaluation des consommateurs des données précises de localisation et de comportement de conduite, sans consentement valable, via une procédure d'inscription trompeuse à OnStar Smart Driver.
Résultat
Ordonnance définitive approuvée par 2 voix contre 0. GM ne peut pas partager de données de géolocalisation ou de conduite avec des agences d'évaluation des consommateurs pendant 5 ans, et doit obtenir un consentement exprès et proposer l'accès, la suppression et le refus pendant 20 ans. Aucune sanction financière.
- Amende
Datamasters (Rickenbacher Data)
California Privacy Protection Agency, Californie, California Delete Act
45 000 $US
Motif
Ce courtier en données texan non inscrit revendait, pour de la publicité ciblée, des listes de millions de personnes atteintes de pathologies comme la maladie d'Alzheimer ou des addictions.
Résultat
Amende de 45 000 $ et obligation de cesser de vendre les données de Californiens
62 600 $US
Motif
À la suite d'une erreur administrative, S&P Global ne s'était pas inscrit comme courtier en données.
Résultat
Amende de 62 600 $ et procédures de contrôle des inscriptions
42 M €
Motif
En octobre 2024, un attaquant s'est introduit dans les systèmes des opérateurs télécoms et a eu accès aux données de 24 millions de contrats d'abonnés, dont des numéros de compte bancaire (IBAN). La sécurité était insuffisante, et les e-mails informant les clients de la violation omettaient des informations obligatoires.
Résultat
Amende de 27 M€ pour Free Mobile et de 15 M€ pour Free (42 M€ au total), plus des injonctions de mise en conformité
- Amende
VNG (Zalo)
Vietnam Competition Commission (Ministry of Industry and Trade), Viêt Nam, Autres lois
810 M ₫
Motif
Zalo ne proposait pas aux utilisateurs d'options claires pour choisir quelles données personnelles ils partagent, ni pour accepter ou refuser leur utilisation à des fins publicitaires et commerciales. Ses conditions contenaient aussi des clauses interdites.
Résultat
Amende de 810 M VND pour six infractions à la loi sur la protection des consommateurs ; TikTok a reçu séparément une amende de 880 M VND pour des violations similaires
1 M €
Motif
Un sous-traitant marketing a conservé une copie des données de plus de 46 millions d'utilisateurs de Deezer après la fin de son contrat et les a utilisées sans instruction du client.
Résultat
Amende de 1 M€
56 600 $US
Motif
Une société marketing du Nevada constituait et vendait des listes d'audiences sur mesure à partir de données sur plus de 262 millions d'Américains, sans être inscrite comme courtier en données en Californie.
Résultat
56 600 $ d'amendes et de frais impayés
1,5 M €
Motif
Le site déposait des traceurs publicitaires avant que les visiteurs fassent un choix, et même après leur refus. Il continuait aussi à lire des traceurs déjà présents après le retrait du consentement.
Résultat
Amende de 1,5 M€
1,4 M $US
Motif
Aucun des 21 jeux mobiles de Jam City ne proposait de refus conforme de la vente ou du partage. Certains vendaient ou partageaient les données de jeunes de 13 à 16 ans sans consentement préalable (opt-in).
Résultat
Sanction de 1,4 M$, refus possible dans les applications, consentement préalable (opt-in) pour les 13 à 15 ans
750 000 €
Motif
Des cookies étaient déposés dès l'arrivée des visiteurs, certains cookies publicitaires étaient présentés comme strictement nécessaires, et le refus ne les bloquait pas.
Résultat
Amende de 750 000 € ; l'éditeur avait déjà reçu de la CNIL une mise en demeure sur les cookies en 2021
10,043 M €
Motif
Le gestionnaire d'aéroports a mené un projet pilote de reconnaissance faciale dans plusieurs aéroports sans réaliser au préalable d'analyse d'impact relative à la protection des données.
Résultat
Amende de 10 043 002 €
530 000 $US
Motif
Sling faisait passer les demandes de refus par les préférences de cookies et obligeait les utilisateurs connectés à saisir à nouveau leurs données. Ses applications pour téléviseur n'offraient aucun refus.
Résultat
Sanction de 530 000 $, refus possible dans l'application, profils enfants sans publicité ciblée
1,35 M $US
Motif
Ses avis de confidentialité omettaient les droits des consommateurs et des candidats à l'embauche, les refus ne fonctionnaient pas (y compris les signaux Global Privacy Control) et l'entreprise partageait des données sans les contrats requis.
Résultat
Amende de 1,35 M$, analyses des traceurs et certification annuelle de conformité pendant quatre ans
425 M $US
Motif
Google a continué à collecter, via ses outils d'analyse, des données d'activité dans les applications auprès d'environ 98 millions d'utilisateurs qui avaient désactivé l'Activité sur le Web et les applications.
Résultat
Verdict du jury d'environ 425 M$ de dommages-intérêts compensatoires ; pas de dommages-intérêts punitifs ; Google va faire appel
10 M $US
Motif
Selon la FTC, Disney n'avait pas marqué certaines vidéos YouTube destinées aux enfants comme « Made for Kids ». Les données d'enfants étaient donc collectées et utilisées pour de la publicité ciblée sans consentement parental.
Résultat
Sanction civile de 10 M$ et programme d'examen des vidéos sur 10 ans ; le tribunal a approuvé l'ordonnance le 31 décembre 2025
1,5 M DKK
Motif
ILVA conservait environ 350 000 dossiers clients dans un ancien système informatique, sans procédure de suppression ou d'anonymisation. Au Danemark, l'autorité recommande une amende et ce sont les tribunaux qui la fixent.
Résultat
Le tribunal de district d'Aarhus a infligé une amende de 100 000 DKK en 2021 pour négligence. Le 2 septembre 2025, la cour d'appel de l'Ouest (Vestre Landsret) a jugé la violation intentionnelle et a porté l'amende à 1,5 M DKK, en la calculant sur le chiffre d'affaires du groupe (CJUE C-383/23).
325 M €
Motif
Des publicités affichées dans les boîtes de réception Gmail et des cookies déposés lors de la création du compte, sans consentement valable.
Résultat
Amende de 325 M€ (200 M€ pour Google LLC, 125 M€ pour Google Ireland) et injonction de corriger les deux manquements sous six mois, sous astreinte de 100 000 € par jour
150 M €
Motif
shein.com déposait des cookies publicitaires avant que les visiteurs répondent au bandeau, et les bandeaux n'expliquaient pas la finalité publicitaire. Le site continuait à déposer et à lire des cookies après un clic sur « Refuse all » ou un retrait du consentement.
Résultat
Amende de 150 M€ infligée à Infinite Styles Services Co. Ltd (filiale irlandaise de Shein)
- Transaction
Google, Flo Health and Flurry (Frasco v. Flo Health)
N.D. California (class action), États-Unis, CIPA (écoutes)
59,5 M $US
Motif
Selon des utilisateurs de l'application Flo, leurs données sur leurs règles et leur grossesse ont été partagées via des SDK tiers avec Google, Flurry et Meta entre novembre 2016 et février 2019, en violation du California Invasion of Privacy Act.
Résultat
Google 48 M$, Flo 8 M$ et Flurry 3,5 M$, sans reconnaissance de faute ; le 29 octobre 2026, le juge a indiqué qu'il accorderait l'approbation définitive
134,8 Md ₩
Motif
Des contrôles d'accès faibles et des réseaux interconnectés ont permis à des pirates de dérober des données, dont des clés d'authentification SIM non chiffrées, concernant plus de 23 millions d'abonnés. SKT a aussi prévenu les utilisateurs en retard.
Résultat
Amende de 134,8 milliards de KRW plus une sanction administrative de 9,6 M KRW
- Action en justice
Meta (Frasco v. Flo Health)
N.D. California (class action), États-Unis, CIPA (écoutes)
Motif
Un jury a estimé que Meta avait violé le California Invasion of Privacy Act en enregistrant intentionnellement, via son SDK, les communications des utilisateurs de l'application Flo, dont des données sur leurs règles et leur grossesse.
Résultat
Verdict de responsabilité contre Meta ; requêtes post-procès rejetées en septembre 2025 ; aucun jugement sur les dommages-intérêts en novembre 2026
55 400 $US
Motif
Ce courtier en données basé dans l'État de Washington ne s'est pas inscrit auprès de la CPPA et n'a pas payé la redevance annuelle exigée par le Delete Act.
Résultat
A accepté de payer une amende de 55 400 $
85 000 $US
Motif
L'avis de confidentialité de TicketNetwork était illisible, omettait des droits essentiels et renvoyait vers des mécanismes d'exercice des droits qui ne fonctionnaient pas. L'entreprise n'a pas corrigé ces problèmes après une mise en demeure de 2023.
Résultat
85 000 $ ; première sanction publique au titre du CTDPA
1,55 M $US
Motif
Healthline continuait à partager des données avec ses partenaires publicitaires après le refus des personnes, y compris via Global Privacy Control. Il partageait aussi, pour le ciblage publicitaire, des titres d'articles laissant deviner un diagnostic médical.
Résultat
Accord de 1,55 M$, le plus élevé au titre du CCPA à l'époque
45 M €
Motif
Vodafone ne contrôlait et ne surveillait pas correctement les agences commerciales partenaires, dont des employés créaient de faux contrats et des modifications aux dépens des clients. Une authentification faible entre le portail MeinVodafone et la hotline permettait aussi à des tiers d'obtenir des profils eSIM.
Résultat
45 M€ d'amendes (15 M€ + 30 M€) plus un avertissement
7,25 M $US
Motif
Patreon aurait partagé avec Meta, via le Meta Pixel et sans consentement valable, les vidéos regardées par ses abonnés et leurs informations personnelles.
Résultat
Accord de 7,25 M$ définitivement approuvé
1,369 Md ₩
Motif
Temu envoyait les données d'utilisateurs coréens à des sous-traitants en Chine, à Singapour et au Japon sans le dire. Il n'avait pas non plus de représentant local et collectait les pièces d'identité et des vidéos du visage des vendeurs sans base légale.
Résultat
Pénalité de 1,369 milliard de KRW plus une amende de 17,6 M KRW et des mesures correctives
900 000 €
Motif
L'entreprise envoyait des SMS et des e-mails de prospection à partir de données achetées à des courtiers en données, dont les formulaires de jeux-concours poussaient les personnes à accepter. Elle ne pouvait pas prouver un consentement valable et transmettait les données à ses clients sans base légale.
Résultat
Amende de 900 000 € ; injonction de cesser la prospection sans consentement valable
1,375 Md $US
Motif
Deux plaintes déposées au Texas en 2022 accusaient Google de suivre la localisation, les recherches en navigation privée et des données biométriques comme les empreintes vocales et la géométrie du visage, sans consentement.
Résultat
Accord de 1,375 Md$ ; aucune reconnaissance de responsabilité ni modification de produit exigée
- Amende
Jerico Pictures (National Public Data)
California Privacy Protection Agency, Californie, California Delete Act
46 000 $US
Motif
Ce courtier en données de Floride, à l'origine de la violation de données National Public Data de 2024, ne s'est pas inscrit auprès de la CPPA et n'a pas payé la redevance annuelle. La CPPA a engagé une procédure administrative contre lui en février 2025.
Résultat
Condamné à payer une amende de 46 000 $
345 178 $US
Motif
Un portail de confidentialité mal configuré n'a pas traité les demandes de refus pendant 40 jours. Le distributeur exigeait aussi une vérification d'identité et des données excessives avant qu'une personne puisse refuser.
Résultat
Amende de 345 178 $, correction des outils de refus, formation du personnel
530 M €
Motif
Les données d'utilisateurs de l'EEE étaient consultées à distance depuis la Chine sans démonstration d'une protection équivalente, et TikTok n'informait pas les utilisateurs de ces transferts.
Résultat
Amende de 530 M€ et injonction de se mettre en conformité sous six mois ou de suspendre les transferts vers la Chine
14,4 M €
Motif
Amadeus a réutilisé les données personnelles de voyageurs issues de son système de réservation aérienne pour un autre produit, sans base légale et sans informer les personnes concernées.
Résultat
Amende de 14,4 M€ (18 M€ réduits de 20 % pour paiement immédiat)
27 M PLN
Motif
La poste nationale a traité sans base légale les données du registre PESEL d'environ 30 millions d'adultes lors de la préparation de l'élection présidentielle par correspondance de 2020.
Résultat
Annulée par le tribunal administratif de Varsovie le 5 mars 2026 (II SA/Wa 837/25), qui a estimé que la poste était liée par la décision du Premier ministre. Décision non définitive ; l'UODO peut former un pourvoi en cassation.
632 500 $US
Motif
Honda obligeait les personnes à vérifier leur identité pour refuser et utilisait un outil de confidentialité qui ne présentait pas les choix de façon équilibrée. L'entreprise partageait aussi des données avec des sociétés ad tech sans les contrats requis.
Résultat
Amende de 632 500 $, procédure simplifiée d'exercice des droits, recours à un designer UX
Motif
Ce courtier en données californien, qui se vantait de pouvoir dénicher une quantité « effrayante » d'informations sur les personnes, ne s'est pas inscrit et n'a pas payé la redevance annuelle prévue par le Delete Act.
Résultat
A accepté de cesser ses activités de courtier en données jusqu'en 2028 ; une amende de 50 000 $ n'est due que s'il ne respecte pas l'accord
- Transaction
Key Marketing Advantage
California Privacy Protection Agency, Californie, California Delete Act
55 800 $US
Motif
Ce courtier en données ne s'est pas inscrit auprès de la CPPA et n'a pas payé la redevance annuelle exigée par le Delete Act.
Résultat
Accord conclu pour 55 800 $
20 M $US
Motif
Selon la FTC, le développeur de Genshin Impact collectait les données d'enfants de moins de 13 ans sans consentement parental et trompait les joueurs sur les probabilités et le coût des loot boxes.
Résultat
Sanction de 20 M$ et interdiction de vendre des loot boxes aux moins de 16 ans sans consentement parental
Motif
Selon la FTC, Mobilewalla collectait des données de localisation via les plateformes d'enchères publicitaires en temps réel et vendait des données révélant des visites dans des lieux sensibles, sans vérifier le consentement des consommateurs. C'était la première fois que la FTC qualifiait de déloyale ce type de collecte via les plateformes d'enchères.
Résultat
L'ordonnance définitive (4 voix contre 1) interdit de vendre des données de localisation sensibles et d'utiliser les données d'enchères pour autre chose que les enchères. Aucune sanction financière.
Motif
Dans une plainte annoncée en décembre 2024, la FTC reprochait à Gravy Analytics et à sa filiale Venntel d'avoir vendu des données de localisation, dont des listes de personnes ayant fréquenté des centres de santé et des lieux de culte, sans consentement valable.
Résultat
L'ordonnance définitive (5 voix contre 0) interdit de vendre, de partager ou d'utiliser des données de localisation sensibles, sauf dans des cas limités de sécurité nationale ou d'application de la loi. Un programme de gestion des données de localisation sensibles est imposé. Aucune sanction financière.
- Transaction
Infillion (PayDae)
California Privacy Protection Agency, Californie, California Delete Act
54 200 $US
Motif
Ce courtier en données ne s'est pas inscrit auprès de la CPPA et n'a pas payé la redevance annuelle du 1er février au 4 novembre 2024.
Résultat
Accord conclu pour 54 200 $
46 600 $US
Motif
Ce courtier en données ne s'est pas inscrit auprès de la CPPA et n'a pas payé la redevance annuelle du 1er février au 20 septembre 2024.
Résultat
Accord conclu pour 46 600 $
50 M $AU
Motif
Les données de 311 127 utilisateurs australiens de Facebook ont été exposées à un risque de divulgation à Cambridge Analytica via l'application « This Is Your Digital Life ».
Résultat
Programme d'indemnisation de 50 M A$ via un engagement exécutoire, qui met fin à la procédure de sanction devant la Cour fédérale
251 M €
Motif
En 2018, une faille dans la fonction « View As » de Facebook a permis à des attaquants de récupérer les jetons d'environ 29 millions de comptes, dont 3 millions dans l'UE et l'EEE, exposant des données y compris celles d'enfants. La notification de violation de Meta était incomplète, et ses systèmes n'étaient pas conçus pour protéger les données dès la conception.
Résultat
Amende de 251 M€
950 000 €
Motif
Les demandes de prêt pouvaient être ouvertes via des URL clients personnelles, ciblées par des hameçonneurs. Les revenus, les frais de logement, la situation familiale et les enfants des demandeurs ont ainsi été exposés.
Résultat
Amende de 950 000 € et injonction d'informer les clients concernés
40 000 €
Motif
Des cookies de suivi étaient déposés avec des cases précochées, et la poursuite de la navigation valait consentement.
Résultat
Amende de 40 000 €
2,131 Md ₹
Motif
La CCI a estimé que la mise à jour de la politique de confidentialité de WhatsApp en 2021 avait été imposée aux utilisateurs à prendre ou à laisser, une condition déloyale et un abus de position dominante au regard du Competition Act, 2002.
Résultat
Sanction de Rs 213,14 crores ; le 4 novembre 2025, le NCLAT (tribunal d'appel) l'a confirmée mais a annulé l'interdiction de cinq ans de partager les données WhatsApp avec Meta à des fins publicitaires
2 M TRY
Motif
Une fuite de données de 125 Go a touché 35 274 personnes en Turquie. La KVKK a jugé insuffisantes les mesures de sécurité et les analyses de risques de Twitch, et a constaté que la violation n'avait pas été notifiée.
Résultat
1,75 M TRY pour sécurité insuffisante plus 250 000 TRY pour défaut de notification de la violation
50 M €
Motif
Mail Orange affichait, sans consentement, des publicités présentées comme des e-mails parmi les vrais messages des boîtes de réception. Sur orange.fr, des cookies continuaient d'être lus après le retrait du consentement.
Résultat
Amende de 50 M€ ; injonction de cesser de lire les cookies après le retrait du consentement, sous astreinte de 100 000 € par jour
35 400 $US
Motif
Ce courtier en données ne s'est pas inscrit auprès de la CPPA et n'a pas payé la redevance annuelle du 1er février au 26 juillet 2024. C'est l'un des premiers accords au titre du Delete Act.
Résultat
Accord conclu pour 35 400 $
34 400 $US
Motif
Ce courtier en données ne s'est pas inscrit auprès de la CPPA et n'a pas payé la redevance annuelle du 1er février au 21 juillet 2024. C'est l'un des premiers accords au titre du Delete Act.
Résultat
Accord conclu pour 34 400 $
2,4 M €
Motif
Posti créait automatiquement une boîte aux lettres électronique pour ses clients et la regroupait avec d'autres services, si bien qu'il était impossible de la refuser. Les clients n'étaient pas clairement informés, et une case précochée était utilisée.
Résultat
Le tribunal administratif d'Helsinki a annulé l'amende de 2,4 M€ (annoncé le 3 novembre 2025), mais a maintenu le rappel à l'ordre et l'injonction de mise en conformité
15 M €
Motif
Le Garante a estimé qu'OpenAI avait entraîné ChatGPT sur les données des utilisateurs sans base légale, manquait de transparence, n'avait pas notifié une violation de données de 2023 et ne vérifiait pas l'âge.
Résultat
Amende de 15 M€ et campagne de sensibilisation de 6 mois ; annulée par le tribunal de Rome le 18 mars 2026, car le Garante n'était plus compétent au profit de la DPC irlandaise
310 M €
Motif
Aucune base légale valable pour utiliser les données des membres à des fins de publicité comportementale.
Résultat
Amende de 310 M€, rappel à l'ordre et injonction de mettre les traitements en conformité
Motif
Injonction d'ajouter « Reject all » au premier niveau de son bandeau cookies et de cesser d'utiliser des couleurs qui poussent les visiteurs à accepter.
Résultat
Injonction de modifier le bandeau cookies sous astreinte, retirée ensuite par l'autorité en mars 2025 ; la plainte a été classée en septembre 2025 après la modification du bandeau par RTL
91 M €
Motif
Meta stockait en clair les mots de passe de certains utilisateurs sur des systèmes internes. Elle n'a pas non plus notifié ni consigné cet incident comme une violation de données.
Résultat
Amende de 91 M€ et rappel à l'ordre
- Injonction
Mediahuis (De Standaard, Het Nieuwsblad, Het Belang van Limburg, Gazet van Antwerpen)
Belgian DPA, Belgique, RGPD
Motif
À la suite d'une plainte de noyb, l'autorité a ordonné aux quatre sites d'information de Mediahuis d'ajouter une option de refus au bandeau cookies partout où figure « accept all » et de cesser d'utiliser des couleurs de boutons trompeuses. Cette décision remplaçait un premier accord de 10 000 € qui n'imposait aucune modification du bandeau.
Résultat
Deux injonctions à respecter sous 45 jours, chacune sous astreinte de 25 000 € par jour et par site (jusqu'à 200 000 € par jour au total). La Cour des marchés a annulé la décision le 19 mars 2025 (2024/AR/1690) pour des motifs de procédure, estimant que noyb avait abusé de son droit de plainte.
Motif
Rappel à l'ordre pour avoir déposé des cookies publicitaires avant que les visiteurs puissent les accepter ou les refuser.
Résultat
Rappel à l'ordre, sans amende
290 M €
Motif
Les données personnelles des chauffeurs ont été transférées vers les États-Unis sans protection adéquate.
Résultat
Amende de 290 M€
1,4 Md $US
Motif
La fonction Tag Suggestions de Facebook, activée par défaut, utilisait la reconnaissance faciale pour collecter des identifiants biométriques à partir des photos publiées, sans information ni consentement.
Résultat
1,4 Md$ sur cinq ans ; le plus important accord sur la vie privée conclu par un seul État à l'époque
600 000 €
Motif
Kruidvat.nl suivait les visiteurs avec des cookies de suivi sans consentement valable : les cases de consentement du bandeau étaient cochées par défaut et le refus était plus difficile. Cela permettait de créer des profils détaillés à partir d'achats sensibles en parapharmacie, comme des tests de grossesse et des médicaments.
Résultat
Amende de 600 000 €
500 000 $US
Motif
Le jeu « SpongeBob: Krusty Cook-Off » utilisait un écran de vérification de l'âge non neutre et des SDK mal configurés. Il collectait et vendait donc des données d'enfants sans consentement parental.
Résultat
Sanction de 500 000 $, vérification de l'âge neutre, gouvernance des SDK (avec le LA City Attorney)
30,5 M €
Motif
Clearview a aspiré plus de 30 milliards de photos, dont celles de Néerlandais, pour créer des profils de reconnaissance faciale sans base légale. Elle n'a pas informé les personnes.
Résultat
Amende de 30,5 M€ plus des injonctions sous astreinte
7 M $US
Motif
Par le biais d'outils de suivi, cette société de télésanté a partagé des données sensibles de santé mentale concernant près de 3,2 millions de personnes avec LinkedIn, Snapchat, TikTok et d'autres, à des fins publicitaires. Elle rendait aussi la résiliation difficile.
Résultat
Plus de 7 M$ (environ 5,1 M$ de remboursements plus 2 M$ d'une sanction de 10 M$) ; interdiction d'utiliser les données de santé pour la plupart des usages publicitaires
351 M CZK
Motif
Avast a transmis à sa filiale Jumpshot l'historique de navigation d'environ 100 millions d'utilisateurs de son antivirus et de ses extensions de navigateur. Elle affirmait que les données étaient anonymes, mais elles n'étaient que pseudonymisées et certaines personnes pouvaient être réidentifiées.
Résultat
Amende de 351 M CZK, désormais définitive
Motif
La plainte reprochait à Google de suivre la navigation des utilisateurs de Chrome qui pensaient que le mode navigation privée préservait leur vie privée.
Résultat
Pas de dommages-intérêts ; suppression de milliards d'enregistrements, informations plus claires, cookies tiers bloquables en navigation privée pendant 5 ans
16,5 M $US
Motif
Avast collectait des données de navigation via son antivirus et ses extensions et les vendait, par l'intermédiaire de Jumpshot, à plus de 100 acheteurs, tout en promettant de protéger les utilisateurs contre le suivi.
Résultat
16,5 M$ et interdiction de vendre des données de navigation à des fins publicitaires
375 000 $US
Motif
DoorDash a transmis les noms, adresses et historiques de commandes de clients californiens à une coopérative marketing. Cela constituait une vente au sens du CCPA, sans information ni possibilité de refus.
Résultat
Sanction de 375 000 $, revue des contrats fournisseurs, rapport annuel
79,1 M €
Motif
Des contrôles insuffisants ont permis à des agences non autorisées de faire souscrire des clients par du télémarketing illégal. Enel a repris 978 contrats provenant d'agences extérieures à son réseau commercial.
Résultat
Amende de 79,1 M€
140 000 £GB
Motif
HelloFresh a envoyé environ 79 millions d'e-mails et 1 million de SMS marketing sur la base d'un consentement invalide, intégré à une case de confirmation de l'âge et qui ne mentionnait pas les SMS. Certaines personnes ont continué à recevoir des messages après avoir demandé l'arrêt.
Résultat
Amende de 140 000 £
Motif
Ce courtier en données vendait des données de localisation précises et non anonymisées, liées à des identifiants publicitaires, y compris des visites dans des cliniques, sans s'assurer que les utilisateurs avaient donné un consentement éclairé.
Résultat
Première interdiction par la FTC de vendre des données de localisation sensibles ; suppression des données et des produits qui en sont dérivés
15 M DKK
Motif
Datatilsynet a signalé Netcompany à la police au sujet de mit.dk, la boîte aux lettres numérique publique. La sécurité n'avait pas été intégrée dès la conception et l'analyse d'impact était insuffisante.
Résultat
L'autorité a recommandé une amende d'au moins 15 M DKK ; ce sont les tribunaux qui fixent l'amende définitive. Toujours en cours, aucun jugement trouvé.
10 M €
Motif
Yahoo déposait des traceurs publicitaires sans consentement préalable. Il indiquait aussi aux utilisateurs que retirer leur consentement les priverait de services essentiels comme Yahoo Mail.
Résultat
Amende de 10 M€ infligée à Yahoo EMEA ; confirmée par le Conseil d'État le 7 octobre 2025
300 000 $US
Motif
De 2016 à 2022, des outils de suivi sur le site de l'hôpital envoyaient à des entreprises technologiques les recherches de médecins et de pathologies ainsi que les informations de rendez-vous, en violation de la HIPAA.
Résultat
300 000 $, contrôle des outils de suivi, suppression des données partagées
32 M €
Motif
Amazon surveillait les salariés de ses entrepôts via leurs scanners, calculait des indicateurs de productivité détaillés et les conservait trop longtemps. L'entreprise n'informait pas non plus correctement les intérimaires de cette surveillance ni de la vidéosurveillance.
Résultat
Amende de 32 M€ ; réduite à 15 M€ par le Conseil d'État le 23 décembre 2025
10 M €
Motif
Uber n'indiquait pas aux chauffeurs européens combien de temps elle conservait leurs données ni vers quels pays hors de l'UE elles étaient envoyées. Elle rendait aussi inutilement difficile pour les chauffeurs la demande d'accès à leurs données.
Résultat
Amende de 10 M€
5,47 M €
Motif
La société de recouvrement traitait sans base légale des données de personnes non débitrices, ainsi que des données de santé. Elle enregistrait sans base légale les appels d'environ 49 850 personnes, et une sécurité insuffisante a permis le vol de données concernant 181 641 personnes.
Résultat
Amende de 5,47 M€, la plus élevée en Croatie ; EOS Matrix a annoncé qu'elle la contesterait
10 M €
Motif
Des contrats d'énergie étaient ouverts au nom de personnes à leur insu, avec des coordonnées erronées ou obsolètes, après qu'Axpo avait repris des données clients d'agents commerciaux sans contrôle suffisant.
Résultat
Amende de 10 M€
345 M €
Motif
Manquements dans le traitement des données et des comptes des enfants.
Résultat
Amende de 345 M€
12,225 M $US
Motif
Le groupe hospitalier utilisait Meta Pixel et Google Analytics sur son site, son portail patient et son application de prise de rendez-vous, ce qui a divulgué des données concernant environ 2,5 millions de patients.
Résultat
Accord collectif de 12 225 000 $
- Transaction
Boston Globe Media Partners (Ambrose v. Boston Globe)
D. Massachusetts (class action), États-Unis, VPPA
4 M $US
Motif
Des abonnés reprochaient au pixel Facebook des pages vidéo du Globe d'envoyer à Facebook les données sur les vidéos qu'ils regardaient. Bloomberg Law l'a présentée comme la première affaire de vie privée liée au Meta Pixel.
Résultat
Fonds d'indemnisation de 4 M$ ; le tribunal a réduit les honoraires d'avocats demandés d'environ 1,7 M$ à 750 000 $
75 000 $US
Motif
Cette société de tests génétiques laissait des rapports ADN et de santé dans un stockage cloud public, trompait les utilisateurs sur la suppression de leurs données et a modifié rétroactivement sa politique de confidentialité pour élargir le partage.
Résultat
75 000 $ pour des remboursements, destruction des échantillons d'ADN, consentement obligatoire pour le partage
40 M €
Motif
Des données de navigation étaient collectées via des cookies sur des sites partenaires sans vérifier que ces partenaires avaient obtenu un consentement valable.
Résultat
Amende de 40 M€, confirmée par le Conseil d'État en mars 2026
58 M SEK
Motif
Lorsque des personnes demandaient leurs données, Spotify les leur transmettait sans expliquer clairement comment il les utilisait. Les données techniques n'étaient pas expliquées de façon compréhensible.
Résultat
Amende de 58 M SEK
20 M $US
Motif
Microsoft collectait les données d'enfants lors de l'inscription à Xbox sans prévenir les parents ni obtenir leur consentement, et les conservait plus longtemps qu'autorisé.
Résultat
Sanction civile de 20 M$
25 M $US
Motif
Amazon conservait indéfiniment les enregistrements vocaux Alexa et les données de localisation d'enfants, ne donnait pas suite aux demandes de suppression et utilisait ces données pour améliorer ses algorithmes.
Résultat
Sanction civile de 25 M$ et obligations de suppression
5,8 M $US
Motif
Ring laissait ses salariés et prestataires visionner les vidéos privées des clients et manquait de mesures de sécurité de base, ce qui a permis à des pirates de prendre le contrôle d'environ 55 000 comptes.
Résultat
5,8 M$ pour des remboursements et un programme de protection de la vie privée et de sécurité
1,2 Md €
Motif
Des données d'utilisateurs de Facebook ont été transférées vers les États-Unis sans protection adéquate. C'est la plus lourde amende RGPD à ce jour.
Résultat
Amende de 1,2 Md€ et injonction de cesser les transferts
100 000 $US
Motif
Par le biais de SDK, l'application de suivi de l'ovulation partageait des données de santé sensibles avec AppsFlyer, Google et deux sociétés basées en Chine, sans jamais en informer les utilisateurs.
Résultat
Sanction de 100 000 $ au titre de la Health Breach Notification Rule (plus 100 000 $ au CT, au DC et à l'OR) et interdiction de partage à des fins publicitaires
380 000 €
Motif
Le site de santé collectait les données de questionnaires de santé sans consentement spécifique et les conservait trop longtemps. Il déposait un cookie publicitaire dès l'arrivée et deux autres même après « Refuse all ».
Résultat
380 000 € au total (280 000 € au titre du RGPD + 100 000 € pour les cookies)
2,265 M €
Motif
La société de recouvrement indiquait une base légale erronée dans sa politique de confidentialité et n'avait pas de contrat de sous-traitance pour un service de veille sur les faillites. Une sécurité insuffisante a exposé les données d'au moins 132 652 personnes.
Résultat
Amende de 2,265 M€, la plus élevée de l'AZOP à l'époque
12,7 M £GB
Motif
TikTok a laissé un grand nombre d'enfants britanniques de moins de 13 ans utiliser l'application sans consentement parental et en a trop peu fait pour les repérer et les exclure. Il n'expliquait pas non plus clairement comment il utilisait les données des personnes.
Résultat
Amende de 12,7 M£ ; TikTok a retiré ses recours en septembre 2026 et l'a acceptée
7,8 M $US
Motif
Selon la FTC, BetterHelp partageait les adresses e-mail, les adresses IP et les réponses aux questionnaires de santé avec Facebook, Snapchat, Criteo et Pinterest à des fins publicitaires.
Résultat
7,8 M$ pour rembourser les consommateurs et interdiction de partager des données de santé à des fins publicitaires
1,5 M $US
Motif
GoodRx partageait les médicaments et les pathologies de ses utilisateurs avec Facebook, Google et Criteo et s'en servait pour cibler des publicités, malgré sa promesse de ne pas le faire.
Résultat
Sanction de 1,5 M$ (première affaire au titre de la Health Breach Notification Rule) et interdiction de partager des données de santé à des fins publicitaires
390 M €
Motif
Meta s'appuyait sur son contrat avec les utilisateurs (les conditions d'utilisation) comme base légale de la publicité comportementale, ce que la DPC a jugé invalide.
Résultat
Amende de 390 M€ (210 M€ pour Facebook, 180 M€ pour Instagram) et injonction de se mettre en conformité sous trois mois
3 M €
Motif
L'éditeur de jeux mobiles lisait l'identifiant IDFV d'Apple sur les iPhone à des fins publicitaires sans consentement, même après que les utilisateurs avaient refusé le suivi.
Résultat
Amende de 3 M€ ; confirmée par le Conseil d'État le 14 mai 2024
5 M €
Motif
tiktok.com permettait d'accepter tous les cookies en un clic (« accept all »), mais ne proposait aucun moyen aussi simple de les refuser ; un bouton « refuse all » n'est arrivé qu'en février 2022. Les visiteurs n'étaient pas informés assez clairement des finalités des cookies.
Résultat
Amende de 5 M€
8 M €
Motif
Sous iOS 14.6, Apple lisait les identifiants des iPhone pour des publicités personnalisées dans l'App Store sans demander d'abord l'accord des utilisateurs ; le ciblage publicitaire était activé par défaut et sa désactivation demandait plusieurs étapes.
Résultat
Amende de 8 M€ ; Apple a annoncé faire appel
520 M $US
Motif
Selon la FTC, Epic collectait les données d'enfants sans consentement parental, activait par défaut le chat vocal et textuel et utilisait des dark patterns qui entraînaient des achats non désirés.
Résultat
Sanction COPPA de 275 M$ plus 245 M$ de remboursements aux consommateurs (520 M$ au total)
60 M €
Motif
bing.com déposait des cookies, dont des cookies publicitaires, et ne permettait pas de les refuser aussi facilement que de les accepter.
Résultat
Amende de 60 M€ plus une injonction de mise en conformité
- Transaction
Google (location tracking)
40 US state attorneys general, États-Unis, Lois des États américains
391,5 M $US
Motif
Selon les États, Google trompait les utilisateurs depuis 2014 sur le suivi de leur localisation : des données continuaient d'être collectées via des paramètres comme l'Activité sur le Web et les applications après la désactivation de l'Historique des positions.
Résultat
Accord de 391,5 M$, le plus important accord multi-États sur la vie privée de l'histoire des États-Unis à l'époque
4,3 M €
Motif
Pour le recensement de 2021, l'INE utilisait Cloudflare selon des conditions qui permettaient des transferts de données vers les États-Unis et d'autres pays, sans garanties appropriées. Parmi les autres manquements figuraient l'obligation d'information, les règles applicables aux sous-traitants et l'absence d'AIPD.
Résultat
Amende de 4,3 M€, la plus élevée au Portugal ; l'INE a fait appel en janvier 2023 et aucune décision définitive n'a été trouvée
20 M €
Motif
Clearview a aspiré des milliards de photos en ligne, dont celles de personnes en France, à des fins de reconnaissance faciale sans base légale. Elle ne répondait pas correctement aux demandes d'accès et d'effacement.
Résultat
Amende de 20 M€ et injonction de supprimer les données ; une liquidation d'astreinte supplémentaire de 5,2 M€ en 2023 pour non-respect
- Transaction
Google (Google Photos, Rivera v. Google)
Circuit Court of Cook County, Illinois (class action), Illinois, BIPA (Illinois)
100 M $US
Motif
Des résidents de l'Illinois reprochaient à la fonction de regroupement des visages de Google Photos de créer des modèles faciaux à partir de leurs photos sans l'information et le consentement écrit exigés par la BIPA.
Résultat
Accord de 100 M$ définitivement approuvé le 28 septembre 2022
405 M €
Motif
Les coordonnées d'enfants étaient rendues publiques via les comptes professionnels et les profils publics par défaut.
Résultat
Amende de 405 M€
69,2 Md ₩
Motif
Google n'indiquait pas clairement aux utilisateurs qu'il collectait leur comportement sur d'autres services pour des publicités personnalisées, et réglait le consentement sur « agree » par défaut.
Résultat
Amende de 69,2 milliards de KRW et mesure corrective
30,8 Md ₩
Motif
Meta collectait et utilisait le comportement des utilisateurs sur d'autres sites et applications pour des publicités personnalisées sans obtenir de consentement valable à l'inscription.
Résultat
Amende de 30,8 milliards de KRW et mesure corrective
1,2 M $US
Motif
Des données étaient vendues via des traceurs tiers sans que les clients en soient informés, et les signaux Global Privacy Control étaient ignorés.
Résultat
Accord de 1,2 M$
- Transaction
Snap (Snapchat Lenses and Filters)
Illinois court (class action), Illinois, BIPA (Illinois)
35 M $US
Motif
Des utilisateurs de l'Illinois reprochaient aux Lenses et Filters de Snapchat d'analyser et de stocker la géométrie de leur visage sans l'information et le consentement écrit exigés par la BIPA. Snap a contesté ces accusations.
Résultat
Accord collectif de 35 M$ pour les utilisateurs de l'Illinois depuis novembre 2015 ; audience d'approbation définitive prévue en novembre 2022
92 M $US
Motif
Selon les plaignants, TikTok collectait des empreintes faciales sans consentement au sens de la BIPA et divulguait des données de visionnage au sens de la VPPA.
Résultat
Accord de 92 M$ définitivement approuvé
8,026 Md CNY
Motif
Didi a collecté illégalement des données clients depuis 2015, dont des données de reconnaissance faciale et des photos du téléphone, sans consentement. L'entreprise stockait aussi de façon non sécurisée les données de 57 millions de chauffeurs.
Résultat
Amende de 8,026 milliards de CNY au titre de la PIPL et des lois sur la cybersécurité et la sécurité des données
20 M €
Motif
Clearview collectait des images faciales de personnes en Grèce sur des sites publics et des réseaux sociaux pour créer des profils biométriques consultables, sans base légale ni transparence.
Résultat
Amende de 20 M€
220 000 €
Motif
L'assureur santé a envoyé à une personne 51 e-mails contenant les certificats médicaux et résultats d'examens d'autres personnes entre avril 2020 et mars 2021, et a ignoré ses avertissements. Il n'a pas notifié la violation.
Résultat
220 000 € proposés (100 000 € au titre de l'art. 5(1)(f) plus 60 000 € pour chacune de deux autres violations) ; DKV a payé 132 000 € après les réductions pour paiement volontaire et reconnaissance des faits (PS/00080/2022)
Motif
L'application suivait la localisation des utilisateurs toutes les quelques minutes, même fermée, après leur avoir indiqué qu'elle ne collectait la localisation que pendant son utilisation.
Résultat
Constat de violation ; Tim Hortons a accepté de supprimer les données et de mettre en place un programme de protection de la vie privée (sans amende)
150 M $US
Motif
Twitter a collecté les numéros de téléphone et e-mails de plus de 140 millions d'utilisateurs pour la sécurité des comptes, puis les a utilisés pour de la publicité ciblée, en violation d'une ordonnance de la FTC de 2011.
Résultat
Sanction civile de 150 M$
7,553 M £GB
Motif
Clearview a constitué une base de reconnaissance faciale de plus de 20 milliards d'images aspirées, dont celles de personnes au Royaume-Uni, sans les informer ni disposer d'une base légale.
Résultat
Amende de 7 552 800 £ et injonction de supprimer les données britanniques ; annulée pour incompétence par le First-tier Tribunal en 2023, mais l'Upper Tribunal a infirmé cette décision en octobre 2025 et renvoyé l'affaire
10 M €
Motif
Google transmettait sans base légale les données personnelles des personnes qui demandaient le retrait de contenus au projet Lumen de Harvard, qui publie ces demandes. Il rendait aussi difficile l'effacement de leurs données.
Résultat
Amende de 10 M€
17 M €
Motif
Après 12 violations de données en 2018, Meta n'a pas pu démontrer qu'elle disposait de mesures appropriées pour protéger les données des utilisateurs européens.
Résultat
Amende de 17 M€
1,5 M $US
Motif
Une application de perte de poids destinée aux enfants dès huit ans collectait leurs données sans consentement parental. Son inscription permettait aux enfants de déclarer avoir plus de 13 ans.
Résultat
Sanction de 1,5 M$, suppression des données et des algorithmes
20 M €
Motif
Clearview proposait une recherche faciale biométrique sur des images aspirées sur le web, dont celles de personnes en Italie, sans base légale ni transparence.
Résultat
Amende de 20 M€
250 000 €
Motif
Le Transparency & Consent Framework du secteur publicitaire n'avait pas de base légale valable pour le traitement de la TC String et donnait aux utilisateurs des informations vagues. Il ne garantissait pas le respect des choix des utilisateurs.
Résultat
Amende de 250 000 € ; injonctions de corriger le TCF, dont l'interdiction de s'appuyer sur l'intérêt légitime ; plan d'action approuvé ensuite, puis suspendu dans l'attente de l'appel
8 M €
Motif
La DSB a constaté des violations du RGPD liées au programme de fidélité jö Bonus Club, après une amende de 2 M€ infligée en 2021 au club lui-même pour ne pas avoir informé environ 2 millions de clients de l'utilisation de leurs données.
Résultat
Non définitive lors de l'annonce ; REWE a indiqué qu'il la contesterait. Aucune décision de justice trouvée.
1,25 M €
Motif
La mairie a communiqué à des tiers, dont l'ambassade de Russie, des données personnelles d'organisateurs de manifestations, dans 225 infractions commises entre 2018 et 2021.
Résultat
Réduite par les tribunaux, car certaines infractions étaient prescrites ; en août 2025, le tribunal administratif central Sud a maintenu environ 738 000 € pour 65 infractions. Un nouvel appel reste possible.
150 M €
Motif
google.fr et youtube.com permettaient d'accepter tous les cookies en un clic, mais le refus demandait plusieurs clics.
Résultat
150 M€ au total (90 M€ pour Google LLC + 60 M€ pour Google Ireland) plus une injonction de mise en conformité
60 M €
Motif
facebook.com permettait d'accepter les cookies en un clic, mais le refus demandait plusieurs clics, et les utilisateurs n'étaient pas clairement informés de la façon de refuser.
Résultat
Amende de 60 M€ infligée à Facebook Ireland plus une injonction de mise en conformité
65 M NOK
Motif
Grindr partageait avec des partenaires publicitaires, sans consentement valable, la position GPS des utilisateurs, leurs identifiants publicitaires et d'autres données, qui révélaient qu'ils utilisaient une application de rencontre gay. Les utilisateurs devaient accepter toute la politique de confidentialité pour utiliser l'application.
Résultat
Amende de 65 M NOK ; confirmée par la commission de recours en matière de vie privée, le tribunal de district d'Oslo et enfin la cour d'appel le 21 octobre 2025
1,95 M TRY
Motif
La KVKK a estimé que la mise à jour de confidentialité de WhatsApp en 2021 n'expliquait pas clairement comment et pourquoi les données des utilisateurs seraient traitées, et obligeait les utilisateurs à accepter le contrat en bloc au lieu de consentir librement.
Résultat
Amende de 1,95 M TRY (environ 197 000 €) et injonction de mettre sa politique de confidentialité en conformité avec le droit turc
225 M €
Motif
WhatsApp n'expliquait pas clairement aux utilisateurs et aux non-utilisateurs comment elle traitait leurs données, notamment leur partage avec les autres sociétés de Facebook.
Résultat
Amende de 225 M€, rappel à l'ordre et injonction de mise en conformité ; montant relevé après une décision contraignante du CEPD
746 M €
Motif
Des données personnelles étaient utilisées pour le ciblage publicitaire sans base légale valable.
Résultat
Amende de 746 M€, confirmée en 2025 mais annulée par la Cour administrative du Luxembourg en mars 2026 et renvoyée à la CNPD
650 M $US
Motif
Facebook utilisait la reconnaissance faciale pour collecter et stocker les identifiants biométriques d'utilisateurs de l'Illinois sans le consentement écrit exigé par la BIPA.
Résultat
Accord de 650 M$ définitivement approuvé par le juge Donato
60 000 £GB
Motif
La marque de mode a envoyé 1 746 632 messages de prospection directe entre juin 2019 et juin 2020 sans consentement valable, certains offrant un masque gratuit en échange du téléchargement de son application. Son tunnel de commande ne permettait pas de refuser simplement la prospection, donc l'exception du soft opt-in ne s'appliquait pas.
Résultat
Amende PECR de 60 000 £
10 000 £GB
Motif
Ce vendeur d'autocollants en ligne a envoyé 491 995 e-mails de prospection entre août 2019 et avril 2020 sans consentement, dont beaucoup faisaient la promotion de masques au début de la pandémie.
Résultat
Amende PECR de 10 000 £
50 000 €
Motif
L'entreprise envoie des échantillons « pink box » aux futurs parents. Elle transmettait les données de ses clients, dont des données d'enfants, à des tiers comme des courtiers en données sans consentement valable, éclairé et libre. Une femme qui avait retiré son consentement continuait de recevoir des appels publicitaires.
Résultat
Amende de 50 000 € et injonction de mettre les traitements en conformité (décision 04/2021)
Motif
L'application de suivi des règles partageait des données de santé, dont la grossesse, avec des sociétés tierces d'analyse et de marketing, malgré ses promesses de confidentialité.
Résultat
Ordonnance de consentement : examen indépendant, consentement avant tout partage, information des utilisateurs ; aucune somme versée
10,4 M €
Motif
Le distributeur en ligne a filmé ses salariés pendant au moins deux ans sans base légale, y compris les postes de travail, les espaces de vente, les entrepôts et les salles de pause. Les enregistrements étaient souvent conservés 60 jours.
Résultat
Le LG Hannover l'a réduite à 700 000 € (6 mai 2024) ; sur appel du parquet, l'OLG Celle a fixé l'amende définitive à 900 000 € (18 décembre 2025, 3 ORbs 113/25)
6 M €
Motif
Le consentement des clients n'était pas valable et la banque ne pouvait pas invoquer l'intérêt légitime pour le profilage. Elle n'informait pas non plus correctement ses clients.
Résultat
Amende de 6 M€ (4 M€ pour traitement illicite, 2 M€ pour défaut d'information)
100 M €
Motif
google.fr déposait des cookies publicitaires sans consentement préalable et n'informait pas clairement les utilisateurs de leurs finalités. Un cookie publicitaire restait aussi actif après la désactivation de la personnalisation des annonces.
Résultat
100 M€ au total (60 M€ pour Google LLC + 40 M€ pour Google Ireland) plus une injonction de mise en conformité
35 M €
Motif
amazon.fr déposait des cookies publicitaires sur les appareils des visiteurs sans consentement préalable et sans information claire.
Résultat
Amende de 35 M€ infligée à Amazon Europe Core plus une injonction de mise en conformité
7 300 €
Motif
Une société de prospection par e-mail de deux personnes envoyait des e-mails de prospection sans preuve de consentement préalable. Elle conservait aussi des données inutiles, informait mal les personnes, proposait une désinscription inefficace et avait un contrat de sous-traitance incomplet.
Résultat
Amende de 7 300 €, fixée à un niveau bas pour une très petite entreprise, plus une injonction de mise en conformité sous deux mois, sous astreinte de 1 000 € par jour (SAN-2020-016)
1,969 M PLN
Motif
Virgin Mobile ne testait pas régulièrement ses mesures de sécurité, et une fuite a exposé les numéros PESEL et de pièce d'identité d'environ 114 000 clients prépayés.
Résultat
La première décision a été annulée ; l'UODO a de nouveau fixé l'amende à 1 599 395 PLN, confirmée en 2023 et devenue définitive lorsque la Cour suprême administrative a rejeté le pourvoi le 7 mai 2026
2,25 M €
Motif
Les sites et le programme de fidélité de Carrefour donnaient des informations peu claires, conservaient les données trop longtemps, traitaient mal les demandes d'exercice des droits et ne respectaient pas les règles sur les cookies.
Résultat
Amende de 2,25 M€ infligée à Carrefour France (Carrefour Banque a reçu séparément une amende de 800 000 €)
1,25 M £GB
Motif
Un chatbot tiers mal sécurisé sur la page de paiement de Ticketmaster a été attaqué en 2018, ce qui a pu exposer les données de 9,4 millions de clients européens, dont leurs données de carte bancaire.
Résultat
Amende de 1,25 M£
12,252 M €
Motif
Des millions de clients ont reçu des appels de télémarketing sans consentement, certains passés depuis de faux numéros par des partenaires commerciaux.
Résultat
Amende de 12 251 601 €
18,4 M £GB
Motif
Une cyberattaque menée en 2014 contre Starwood, rachetée ensuite par Marriott, a exposé environ 339 millions de fiches clients et n'a été détectée qu'en 2018. Marriott n'avait pas fait suffisamment de vérifications préalables ni pris assez de mesures de sécurité.
Résultat
Amende de 18,4 M£
20 M £GB
Motif
En 2018, des attaquants ont détourné le trafic du site de BA et récupéré les identifiants, les données de carte bancaire et les informations de réservation d'environ 400 000 clients, en raison d'une sécurité insuffisante.
Résultat
Amende de 20 M£ (réduite par rapport aux 183,39 M£ envisagés)
35,259 M €
Motif
Des managers du centre de services de H&M à Nuremberg consignaient la vie privée des salariés, y compris leurs maladies et diagnostics recueillis lors d'entretiens de retour (« welcome back »), et s'en servaient pour établir des profils.
Résultat
Amende de 35 258 708 €
16,7 M €
Motif
Des clients recevaient des SMS, e-mails et appels marketing sans consentement. Des informations incomplètes sur la confidentialité les empêchaient de retirer facilement leur consentement ou de s'opposer.
Résultat
Amende de 16,7 M€
1,2 M TRY
Motif
amazon.com.tr traitait des données personnelles via des cookies dès l'arrivée des utilisateurs, sans information ni demande de consentement. Le site utilisait aussi un consentement précoché aux e-mails marketing et transférait des données à l'étranger sans consentement explicite.
Résultat
1,1 M TRY (sécurité des données) plus 100 000 TRY (obligation d'information) ; injonction de corriger ses mentions de confidentialité, ses conditions et son avis sur les cookies
27,8 M €
Motif
Des centaines de plaintes ont montré que TIM passait des appels marketing sans consentement ou à des personnes qui s'y étaient opposées. L'opérateur utilisait aussi des informations peu claires dans ses applications et des consentements groupés.
Résultat
Amende de 27,8 M€
9,55 M €
Motif
Le support téléphonique communiquait de nombreuses données clients à toute personne qui donnait le nom et la date de naissance d'un client, un contrôle trop faible au regard de l'art. 32 du RGPD.
Résultat
Le LG Bonn a confirmé l'amende sur le principe mais l'a réduite à 900 000 € le 11 novembre 2020
14,5 M €
Motif
Le système d'archivage du bailleur ne permettait pas de supprimer les anciennes données des locataires : fiches de paie, relevés bancaires, données fiscales et d'assurance maladie étaient conservés pendant des années (art. 25(1) et art. 5 du RGPD).
Résultat
Le LG Berlin l'a annulée en 2021. La CJUE a jugé le 5 décembre 2023 (C-807/21) que les entreprises peuvent être sanctionnées directement, mais seulement pour des violations fautives. Le 9 juin 2026, le LG Berlin I a réduit l'amende à 900 000 € ; décision pas encore définitive.
30 000 €
Motif
Le site de Vueling ne permettait pas aux visiteurs de refuser les cookies : ils devaient les accepter pour continuer à naviguer.
Résultat
Amende de 30 000 € (18 000 € en cas de paiement anticipé)
18 M €
Motif
La poste a estimé et vendu les préférences politiques probables de 2,2 millions d'Autrichiens sans consentement.
Résultat
Annulée en 2020 pour vice de forme, puis fixée de nouveau à 16 M€ après l'arrêt Deutsche Wohnen de la CJUE. La Cour administrative suprême a fixé l'amende définitive à 13 M€ le 24 juin 2026 (Ro 2025/04/0007).
2,83 M PLN
Motif
Un contrôle d'accès et une authentification insuffisants, et l'absence de réaction à des transferts de données inhabituels, ont permis à un attaquant de récupérer en 2018 les données d'environ 2,2 millions de clients de la boutique en ligne.
Résultat
Confirmée en 2020, annulée par la Cour suprême administrative le 9 février 2023 ; l'UODO a infligé une nouvelle amende de 3,8 M PLN en février 2024, qui fait l'objet d'un recours
170 M $US
Motif
YouTube collectait des cookies auprès des spectateurs de chaînes destinées aux enfants sans consentement parental et les utilisait pour de la publicité ciblée.
Résultat
170 M$ (136 M$ pour la FTC, 34 M$ pour l'État de New York) ; système de marquage du contenu des chaînes
195 407 €
Motif
La société de livraison de repas ne supprimait pas les comptes inactifs depuis longtemps, continuait d'envoyer des e-mails marketing après opposition des personnes et ne répondait pas aux demandes d'accès.
Résultat
Définitive ; annoncée le 19 septembre 2019
5 Md $US
Motif
Selon la FTC, Facebook a violé son ordonnance de 2012 sur la vie privée en trompant les utilisateurs sur le contrôle de leurs données, notamment le partage des données de leurs amis avec des applications tierces. Ces accusations faisaient suite au scandale Cambridge Analytica.
Résultat
Sanction de 5 Md$, la plus élevée jamais infligée pour une atteinte à la vie privée à l'époque, plus un comité de la vie privée au sein du conseil d'administration
1,2 M DKK
Motif
La compagnie de taxis conservait plus longtemps que nécessaire les numéros de téléphone et les lieux de près de neuf millions de courses. L'autorité a recommandé 1,2 M DKK ; au Danemark, ce sont les tribunaux qui fixent les amendes.
Résultat
Le tribunal de district de Frederiksberg a infligé une amende de 100 000 DKK en janvier 2023
5,7 M $US
Motif
L'application collectait les données personnelles d'utilisateurs de moins de 13 ans sans consentement parental, alors qu'elle savait que beaucoup d'utilisateurs étaient des enfants.
Résultat
Sanction civile de 5,7 M$, suppression des vidéos des moins de 13 ans
50 M €
Motif
Les utilisateurs d'Android qui créaient un compte Google recevaient des informations peu claires et dispersées sur la personnalisation des annonces. Le consentement était groupé et recueilli via une case précochée.
Résultat
Amende de 50 M€ ; confirmée par le Conseil d'État le 19 juin 2020
750 000 $SG
Motif
En tant qu'agence informatique de SingHealth, IHiS n'avait pas mis en place de sécurité raisonnable avant la cyberattaque de 2018, au cours de laquelle les données de plus de 1,5 million de patients ont été copiées.
Résultat
Amende de 750 000 S$
250 000 $SG
Motif
SingHealth restait responsable de la sécurité des dossiers patients confiés à IHiS. Elle n'avait pas mis en place de sécurité raisonnable avant la violation de 2018.
Résultat
Amende de 250 000 S$
385 000 £GB
Motif
Des failles de sécurité évitables ont permis à des attaquants de dérober en 2016 les données d'environ 2,7 millions de passagers et 82 000 chauffeurs au Royaume-Uni. Uber a payé les attaquants et a caché la violation pendant plus d'un an.
Résultat
Amende payée (Data Protection Act 1998)
20 000 €
Motif
La plateforme de chat stockait les mots de passe en clair, et des pirates ont dérobé les données d'environ 330 000 utilisateurs en juillet 2018.
Résultat
Première amende RGPD en Allemagne, maintenue à un niveau bas parce que Knuddels a signalé elle-même la violation et a coopéré
500 000 £GB
Motif
Facebook a laissé l'application « This Is Your Digital Life » collecter les données de jusqu'à 87 millions d'utilisateurs, qui ont fini chez Cambridge Analytica. Elle a enfreint les principes de transparence et de sécurité du Data Protection Act 1998.
Résultat
Amende maximale prévue par la loi de 1998. Facebook a fait appel, puis a accepté le 30 octobre 2019 de payer sans reconnaître sa responsabilité, et les deux parties ont abandonné leurs recours.
4 800 €
Motif
La vidéosurveillance de la boutique filmait une grande partie du trottoir public sans base légale, et la caméra n'était pas correctement signalée.
Résultat
Première amende RGPD en Autriche ; non définitive au moment de l'annonce, et aucune décision de justice ultérieure n'a été confirmée
140 000 £GB
Motif
Ce courtier en données a vendu à Experian des données concernant plus d'un million de personnes, surtout de jeunes mères. Experian en a tiré une base que le Parti travailliste a utilisée pour ses envois lors des élections de 2017. Sa politique de confidentialité ne mentionnait jamais la prospection politique.
Résultat
Amende payée (Data Protection Act 1998)
400 000 €
Motif
Des contrôles d'accès insuffisants permettaient à du personnel non médical d'ouvrir les dossiers cliniques des patients. Il existait 985 comptes de médecin actifs pour seulement 296 médecins.
Résultat
Après le recours de l'hôpital, l'amende a été regroupée en une amende unique de 380 000 €, que la CNPD a annulée le 14 juillet 2020 en invoquant la pandémie et le déficit de l'hôpital
77 000 £GB
Motif
BT a envoyé près de cinq millions d'e-mails marketing à ses clients sans le consentement nécessaire.
Résultat
Amende payée
12 000 £GB
Motif
Royal Mail a envoyé des e-mails à 327 014 personnes qui s'étaient déjà opposées à la prospection directe.
Résultat
Amende payée
300 000 €
Motif
WhatsApp transmettait les données des utilisateurs à Facebook sans consentement valable. Les utilisateurs devaient accepter les conditions de 2016 pour continuer à utiliser l'application.
Résultat
Infraction grave à la loi espagnole sur la protection des données antérieure au RGPD (LOPD) ; WhatsApp a annoncé faire appel
300 000 €
Motif
Facebook utilisait les données reçues de WhatsApp à ses propres fins, y compris publicitaires, sans consentement libre, spécifique et éclairé.
Résultat
Infraction grave à la LOPD
1,2 M €
Motif
Facebook utilisait des données sensibles comme l'idéologie, la religion et la vie sexuelle pour le ciblage publicitaire sans consentement exprès. Il suivait les non-utilisateurs et les utilisateurs déconnectés via des cookies et des boutons Like sans les en informer.
Résultat
1,2 M€ au titre de la LOPD (PS/00082/2017), la plus forte amende de l'AEPD à l'époque ; Facebook a annoncé faire appel
10 500 £GB
Motif
Morrisons a envoyé des e-mails marketing à des destinataires sans consentement suffisant.
Résultat
Amende payée
150 000 €
Motif
Facebook suivait les personnes, y compris les non-utilisateurs, sur d'autres sites avec son cookie « datr » sans information claire, et combinait des données pour le ciblage publicitaire sans base légale. Les utilisateurs ne pouvaient pas refuser efficacement les cookies.
Résultat
Amende de 150 000 € infligée à Facebook Inc. et Facebook Ireland
70 000 £GB
Motif
Flybe a délibérément envoyé plus de 3,3 millions d'e-mails à des personnes qui s'étaient opposées à sa prospection.
Résultat
Amende payée
13 000 £GB
Motif
Honda a envoyé 289 790 e-mails demandant aux clients de confirmer leurs préférences marketing. Ces e-mails étaient eux-mêmes de la prospection envoyée sans consentement.
Résultat
Amende payée
Les plus lourdes amendes RGPD et vie privée dans l'UE
- 1Meta Platforms IrelandIrish DPC, 20231,2 Md €
- 2UberDutch DPA (AP), 2026824,99 M €
- 3Meta (Facebook Android app)Italian Garante, 2026805 M €
- 4Amazon Europe CoreLuxembourg CNPD, 2021746 M €
- 5TikTokIrish DPC, 2025530 M €
- 6Meta (Instagram)Irish DPC, 2022405 M €
- 7GoogleIrish DPC, 2026403 M €
- 8Meta (Facebook and Instagram)Irish DPC, 2023390 M €
- 9TikTokIrish DPC, 2023345 M €
- 10Google LLC and Google IrelandCNIL, 2025325 M €
Les plus lourdes sanctions CCPA et vie privée aux États-Unis
- 1Meta (Facebook)FTC, 20195 Md $US
- 2MetaTexas Attorney General, 20241,4 Md $US
- 3GoogleTexas Attorney General, 20251,375 Md $US
- 4FacebookN.D. California (class action), 2021650 M $US
- 5Epic Games (Fortnite)FTC, 2022520 M $US
- 6Google (Web & App Activity)N.D. California (class action), 2025425 M $US
- 7TikTok and ByteDanceDOJ on behalf of FTC (C.D. California), 2026400 M $US
- 8Google (location tracking)40 US state attorneys general, 2022391,5 M $US
- 9Google / YouTubeFTC, 2019170 M $US
- 10TwitterFTC, 2022150 M $US
Amendes par loi
Amendes par pays
- Californie37
- États-Unis30
- France28
- Royaume-Uni20
- Irlande12
- Italie9
- Espagne9
- Pays-Bas7
- Allemagne7
- Corée du Sud6
- Union européenne4
- Belgique4
- Illinois4
- Australie3
- Danemark3
- Pologne3
- Turquie3
- Portugal3
- Autriche3
- Inde2
- Connecticut2
- Texas2
- Finlande2
- Croatie2
- Singapour2
- Alabama1
- Oklahoma1
- Louisiane1
- Delaware1
- Colorado1
- Brésil1
- Mondial1
- Floride1
- Viêt Nam1
- Tchéquie1
- New York1
- Wisconsin1
- Suède1
- Chine1
- Grèce1
- Canada1
- Norvège1
- Luxembourg1
Leading Consent Management Platform
Compliant with GDPR, CCPA, COPPA, LGPD, PECR, PDPA, PIPEDA, and more.
Questions fréquentes
Quelle est la plus lourde amende RGPD ?
La plus lourde amende RGPD s'élève à 1,2 milliard d'euros, infligée à Meta Platforms Ireland par l'autorité irlandaise de protection des données en mai 2023 pour avoir transféré des données d'utilisateurs de Facebook vers les États-Unis sans protection adéquate.
Quelle est la plus lourde amende CCPA ?
La plus lourde sanction CCPA à ce jour est la transaction de 12,75 millions de dollars conclue par General Motors avec le procureur général de Californie en mai 2026, pour avoir vendu des données de localisation et de conduite sans en informer les conducteurs. La plus lourde amende de l'agence californienne est celle de 2,975 millions de dollars infligée à FedEx en novembre 2026.
Quel peut être le montant d'une amende RGPD ?
Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'entreprise, le montant le plus élevé étant retenu, pour les manquements les plus graves.
Une entreprise hors de l'UE peut-elle être sanctionnée au titre du RGPD ?
Oui. Le RGPD s'applique aux entreprises du monde entier qui proposent des biens ou services à des personnes dans l'UE ou suivent leur comportement, ce qui inclut le suivi sur un site web.
Quelles sont les causes les plus fréquentes des amendes ?
Dans les affaires suivies ici, les problèmes les plus fréquents sont des cookies et pixels de suivi qui s'exécutent avant le consentement, des oppositions et signaux Global Privacy Control non respectés, et de la publicité sans base légale valable.
À quelle fréquence ce suivi est-il mis à jour ?
Nous ajoutons les nouvelles amendes, actions en justice et échéances au fil de nos articles sur le blog UniConsent. Chaque affaire renvoie à sa source et à notre analyse.
Pour une analyse des tendances derrière ces affaires, lisez Application du RGPD et amendes 2026 et Vie privée aux États-Unis 2026 : lois des États, actions de la FTC et risque d'actions collectives.
Dernière mise à jour
Commencez à rendre votre site web et votre application conformes au RGPD de l'UE, au CPRA des États-Unis, au PIPEDA de la CA, etc.
S'inscrireGardez une longueur d'avance sur la confidentialité et le consentement
Lois sur la confidentialité, consentement et conformité, quelques e-mails par mois.