Sanctions CNIL 2024-2026

Publicités insérées entre les courriels Gmail sans consentement et cookies déposés à la création de compte sans consentement valide (200 M€ Google LLC + 125 M€ Google Ireland). Plus lourde sanction CNIL en matière de cookies.

Refus des cookies non aussi simple que l'acceptation sur google.fr et youtube.com ; bouton refuser absent sur le premier niveau.

Cookies déposés sur shein.com sans consentement valide, refus de consentement non effectif, bandeaux d'information incomplets.

Refus des cookies non aussi simple que l'acceptation sur facebook.com.

Bing : dépôt de cookies sans consentement, bouton de refus absent sur le premier niveau.

Affichage de publicités dans la messagerie d'Orange assimilables à de la prospection, cookies sans consentement.

Défaut de consentement valide pour le traitement de données à des fins publicitaires ; défaut d'information ; défaut de traitement des demandes de droits ; absence d'accord de responsabilité conjointe.

Système de surveillance excessive des salariés via scanners (mesure inactivité à la seconde, alertes automatisées), information insuffisante.

Collecte massive d'images faciales depuis internet sans base légale ; absence de DPIA ; refus de droits ; traitement biométrique illicite.

Cookies publicitaires déposés sans consentement sur yahoo.fr, refus non aussi simple que l'accord.

Entrepôts de données de santé : non-respect des conditions des autorisations, sécurité insuffisante (absence d'analyse régulière des journaux, pas d'authentification multifacteur sur l'entrepôt EMR), information inexacte des patients et droit d'opposition non effectif.

Défaut de sécurité : intrusion par ingénierie sociale ayant permis l'usurpation de comptes de conseillers CAP EMPLOI et l'accès aux données de demandeurs d'emploi (violation au 1er trimestre 2024).

Utilisation d'un identifiant technique (IDFV) à des fins publicitaires sans consentement, via des jeux mobiles.

Information non accessible, cookies déposés avant consentement, durées de conservation excessives, défaut de réponse aux droits, failles de sécurité, notification tardive.

Durées de conservation excessives, information insuffisante, défaut de prise en compte des oppositions à la prospection.

Fuite massive de données de santé (~500 000 personnes) en raison d'une sécurité insuffisante et d'un défaut d'encadrement contractuel des sous-traitants.

Politique de conservation non définie ; défaut d'information ; politique de mots de passe insuffisante ; absence de DPIA.

Cookies sans consentement, information défaillante, sécurité des données.

Traitement de données de santé non anonymes sans autorisation de la CNIL (production d'études et de statistiques).

Prospection commerciale sans consentement valide, défaut de prise en compte des oppositions.

Pièces d'identité et justificatifs accessibles en ligne sans authentification ; durées de conservation non définies.

Mots de passe en clair, défaut d'information des locataires, notification tardive de violation.

Profilage publicitaire sans consentement valide, données de santé collectées via des tests santé, absence de DPIA, sécurité insuffisante.

Défaut de réponse aux demandes d'accès, mots de passe envoyés en clair, notification tardive de violation de données.

Conservation des mots de passe en clair et durées de conservation non respectées.

Aspiration (scraping) de données de contact professionnelles sans base légale valable et défaut d'information des personnes lors d'une collecte indirecte (art. 14).

Géolocalisation quasi-permanente des scooters en location sans nécessité, absence d'AIPD.

Violation de données massive (43 millions de personnes) liée à un prestataire, sécurité insuffisante.