Le 30 décembre 2025, la CNIL a infligé 3,5 millions d’euros d’amende à une société ayant utilisé les données de son programme de fidélité pour du ciblage publicitaire sur un réseau social. La décision retient plusieurs manquements au RGPD : absence de base légale valable, information insuffisante, défaut d’analyse d’impact, mesures de sécurité inadaptées et non-respect des règles sur les cookies.