Aristotelis Zervos
Aristotelis Zervos, directeur de la rédaction de 2B Advice, allie expertise juridique et journalistique en Protection des données, informatique-Conformité et la réglementation de l'IA.
Le plus haut Amende a été infligée à Vodafone en Allemagne en juin 2025. Fait marquant : pas moins de deux amendes de plusieurs millions ont été infligées en Espagne et en Grande-Bretagne pour des violations de données au cours desquelles les pirates ont obtenu un accès non autorisé aux données via le credential stuffing. Et en Irlande, le ministère des Affaires sociales s'est vu infliger une amende relativement élevée. Amende sont sanctionnés. Contrairement à d'autres pays, il est possible en Irlande d'infliger des amendes aux autorités et leur montant n'est pas plafonné.
Vodafone : 45 millions d'euros (Allemagne)
La Commissaire fédérale à la protection des données et à la liberté d'information (BfDI) a infligé à Vodafone GmbH deux amendes d'un montant total de 45 millions d'euros.
Une amende de 15 millions d'euros a été infligée à l'opérateur de téléphonie mobile Vodafone pour ne pas avoir suffisamment contrôlé et surveillé ses agences partenaires, qui concluent des contrats avec des clients pour le compte de l'entreprise. Cela a donné lieu à des cas de fraude dans lesquels des clients ont subi un préjudice du fait de contrats fictifs ou de modifications de contrats.
Une amende de 30 millions d'euros a également été infligée en raison de failles de sécurité dans le processus d'authentification lors de l'utilisation combinée du portail en ligne „ MeinVodafone “ et de la hotline Vodafone. Ces failles ont permis à des tiers non autorisés d'accéder aux profils eSIM des clients.
Vodafone a réagi à ces accusations en améliorant ses processus et ses systèmes, voire en les remplaçant entièrement dans certains cas. Cela devrait permettre de minimiser les risques à l'avenir. Par ailleurs, les processus de sélection et de contrôle des agences partenaires ont été revus. Enfin, l'entreprise a mis fin à ses collaborations avec les partenaires chez lesquels des cas de fraude ont été constatés. La BfDI prévoit de vérifier l'efficacité de ces mesures lors d'un contrôle de suivi.
Conseil de lecture : Le BfDI inflige à Vodafone des amendes d'un montant total de 45 millions d'euros
Source : Communiqué de presse „ Le BfDI inflige des amendes à Vodafone “ du 3 juin 2025
Carrefour : 3,2 millions d'euros (Espagne)
L'autorité espagnole de protection des données Agencia Española de Protección de Datos (AEPD) a engagé une procédure contre la chaîne de supermarchés Carrefour Espagne. Amende d'un montant total de 3,2 millions d'euros a été infligée. Les raisons en sont les suivantes : plusieurs violations de la protection des données liées à cinq fuites de données successives entre octobre 2022 et septembre 2023. Les incidents de sécurité concernaient un total de 118 895 comptes clients, dans lesquelles des pirates exploitent ce qu'on appelle Le bourrage de crâne ont obtenu un accès non autorisé. Les noms, adresses, dates de naissance, données d'identification et coordonnées, entre autres, ont été compromis.
L'AEPD constate que Carrefour insuffisance de mesures techniques et organisationnelles visées à l'article 32 RGPD a prises pour empêcher de telles attaques. Par ailleurs, l'entreprise aurait enfreint le Principe de la Intégrité et Confidentialité en vertu de l'article 5, paragraphe 1, point f) RGPD enfreignent ; en partie également la Obligation d'informer les personnes concernées conformément à l'article 34 RGPD.
Carrefour avait certes signalé lui-même les cinq incidents à l'AEPD. L' autorité de contrôle mais reproche à l'entreprise d'avoir réagi trop tard et de manière incomplète, notamment en ce qui concerne l'information des personnes concernées au sujet des trois premiers incidents de sécurité.
La répartition concrète des amendes est la suivante :
- 2 millions d'euros pour violation de l'article 5, paragraphe 1, sous f) RGPD (Intégrité et Confidentialité)
- 1 million d'euros pour violation de l'article 32 RGPD (Sécurité des données)
- 200.000 euros pour violation de l'article 34 RGPD (notification aux personnes concernées)
Carrefour avait reconnu en partie sa responsabilité dans cette notification insuffisante, mais avait contesté les autres reproches. L'AEPD n'a toutefois pas retenu ces objections et a constaté que les mesures de sécurité mises en œuvre ni suffisants ni opportuns étaient
23andMe : 2,31 millions de livres sterling (Royaume-Uni)
L'autorité britannique de protection des données, l'ICO (Information Commissioner’s Office), a infligé une amende de 2,31 millions de livres sterling (environ 2,7 millions d'euros) à la société américaine de génétique 23andMe. Motif : lors d’une cyberattaque de grande envergure survenue en 2023, les données sensibles de 155 592 utilisateurs britanniques ont été compromises. L’attaque a exploité des techniques dites de « credential stuffing », qui consistent à utiliser des identifiants volés lors de fuites de données antérieures et sans rapport avec celle-ci pour accéder sans autorisation aux comptes des utilisateurs. Des informations personnelles telles que les noms, les années de naissance, les lieux de résidence, les photos de profil, l’origine ethnique, les arbres généalogiques et les dossiers médicaux ont ainsi été divulguées.
L'ICO a constaté que 23andMe n'avait pas mis en place les mesures de sécurité adéquates pour prévenir de telles attaques. Il manquait notamment des étapes de vérification supplémentaires pour l'accès et le téléchargement des données brutes issues des informations génétiques. De plus, l’entreprise a réagi lentement aux signaux d’alerte : bien que l’attaque ait débuté dès avril 2023, une enquête approfondie n’a été lancée qu’en octobre 2023, après qu’un employé eut découvert que des données volées étaient proposées à la vente sur Reddit.
Cette enquête a été menée conjointement avec le Commissaire à la protection des données du Canada. Elle souligne l'importance de la coopération internationale en matière de protection des données. L'ICO a insisté sur le fait que la protection des données à caractère personnel sensibles, en particulier des informations génétiques, devait être une priorité absolue et que les entreprises étaient tenues de mettre en place des mesures de sécurité appropriées pour protéger ces données.
Source : Communiqué de presse du Bureau du commissaire à l'information du 17 juin 2025
Yliopiston Apteekki : 1,1 million d'euros (Finlande)
L'autorité finlandaise chargée de la protection des données, le Tietosuojavaltuutetun toimisto, a infligé une amende de 1,1 million d'euros à la chaîne de pharmacies Yliopiston Apteekki. Entre mai 2018 et septembre 2022, l'entreprise a, dans sa boutique en ligne, Suivi- des technologies telles que Cookies et des outils d'analyse qui ont permis de transmettre des données clients sensibles à des fournisseurs tiers tels que Google et Meta. Ces données comprenaient des informations relatives à l'ajout de médicaments au panier, au clic sur le bouton de commande, ainsi que les adresses IP et d'autres éléments d'identification. En particulier, lorsque les clients étaient connectés à leur compte Google ou Facebook pendant leur visite sur la boutique en ligne, ces prestataires tiers pouvaient identifier directement les utilisateurs.
L'enquête a été ouverte après qu'un doctorant de l'université de Turku a signalé des lacunes en matière de protection des données dans les pharmacies en ligne finlandaises. Yliopiston Apteekki a mis en place l'utilisation de Google et de Meta-Suivi- a mis fin à ces technologies en septembre 2022, mais a l'intention de faire appel de la décision de l'autorité chargée de la protection des données devant le tribunal administratif.
L'autorité chargée de la protection des données a souligné le caractère particulièrement sensible de Données de santé et la nécessité de mettre en place des mesures de protection adéquates afin de garantir la confiance des clients dans les pharmacies en ligne.
Department of Social Protection : 550 000 euros (Irlande)
Le 12 juin 2025, la Commission irlandaise de protection des données (Data Protection Commission, DPC) a clôturé son enquête sur l'utilisation par le ministère de la Protection sociale (Department of Social Protection, DSP) de la technologie de reconnaissance faciale dans le cadre de l'enregistrement SAFE 2 pour la carte de services publics (PSC). L'enquête, qui a débuté en juillet 2021, s'est concentrée sur les Traitement des données faciales biométriques et l'utilisation des technologies correspondantes pendant le processus d'enregistrement.
La DPC a constaté que le DSP avait enfreint plusieurs dispositions du RGPD (RGPD) a blessé :
- Articles 5(1)(a), 6(1) et 9(1): Le DSP n'a pas pu démontrer l'existence d'une base juridique valable pour la collecte de données biométriques dans le cadre de l'enregistrement SAFE 2.ie
- Article 5(1)(e): En l'absence de fondement juridique, le stockage de ces données était également illégal.
- Articles 13(1)(c) et 13(2)(a): Les Obligations d'information n'ont pas été suffisamment respectées à l'égard des personnes concernées.
- Article 35(7)(b) et (c): L'étude menée Analyse d'impact relative à la protection des données était incomplète.
En conséquence, la DPC a infligé une amende totale de 550 000 euros à la DSP et a ordonné que les Traitement de données biométriques dans le cadre de l'enregistrement SAFE 2 dans un délai de neuf mois, à moins qu'une base juridique valable ne puisse être prouvée.
La DPC a souligné que ses conclusions ne se prononçaient pas sur la mise en place, d'une manière générale, du registre SAFE 2, mais portaient exclusivement sur le respect des exigences en matière de protection des données.
Aristotelis Zervos est directeur éditorial chez 2B Advice, juriste et journaliste avec un savoir-faire approfondi en matière de protection des données, RGPD, informatique-Conformité et la gouvernance de l'IA. Il publie régulièrement des articles approfondis sur la réglementation de l'IA, RGPD-Conformité et la gestion des risques. Pour en savoir plus sur lui, rendez-vous sur son Page du profil de l'auteur.
German 
English 
Italian 
French