La Cnil prononce des amendes respectives de 27 et 15 millions d’euros à l'encontre des sociétés Free Mobile et Free, compte tenu du caractère inadapté des mesures prises pour assurer la sécurité des données de leurs abonnés révélé à l'occasion de la cyberattaque d'octobre 2024.
En octobre 2024, un individu est parvenu à s’infiltrer dans le système d’information des sociétés Free Mobile et Free et à accéder à des données personnelles concernant 24 millions de contrats d’abonnés, dont des IBAN lorsque les personnes étaient à la fois clientes des deux sociétés.
Faisant notamment suite à un très grand nombre de plaintes de personnes concernées par cette violation de données, la Commission nationale de l'informatique et des libertés (Cnil) a réalisé un contrôle qui a mis en évidence des manquements à plusieurs obligations prévues par le RGPD (règlement général sur la protection des données - Règlement (UE) 2016/679 du 27 avril 2016) imputables aux deux sociétés :
- un manquement à l’obligation d’assurer la sécurité des données personnelles : compte tenu du nombre et de la nature des données traitées, les mesures de sécurité déployées par les sociétés afin d’assurer leur confidentialité n’étaient pas adaptées, notamment la procédure d’authentification pour se connecter aux VPN ou les mesures déployées afin de détecter les comportements anormaux sur leur système d’information ;
- un manquement à l’obligation de communiquer auprès des personnes concernées par la violation de données, ce qui leur aurait permis de comprendre directement les conséquences de la violation, ainsi que les mesures qu’elles pouvaient mettre en place pour se protéger de celles-ci ;
- un manquement à l’obligation de conserver les données personnelles pendant une durée limitée (société Free Mobile).
En conséquence, par deux délibérations SAN-2026-001 et SAN-2026-002 du 8 janvier 2026, rendues publiques le 14 janvier 2026, la formation restreinte de la Cnil prononce une amende de 27 millions d’euros à l’encontre de Free Mobile et une amende de 15 millions d’euros à l’encontre de Free et enjoint aux sociétés de se mettre en conformité avec les dispositions violées.
Les sociétés ont annoncé leur intention de saisir le Conseil (...)
