La sanction CNIL Free atteint 42 millions d’euros au total. Le 13 janvier 2026, la Commission nationale de l’informatique et des libertés (CNIL) a rendu deux décisions : 27 millions d’euros pour Free Mobile, 15 millions d’euros pour Free. Chaque société répond des données de ses propres abonnés.
À l’origine, une intrusion d’octobre 2024. Un attaquant a pénétré le système d’information des deux sociétés et accédé aux données de 24 millions de contrats d’abonnés. Les IBAN des clients abonnés à la fois chez Free Mobile et chez Free figuraient dans le lot. La CNIL a ensuite reçu plus de 2 500 plaintes, puis mené un contrôle.
Les manquements retenus par la sanction CNIL Free
| Société | Amende | Manquements retenus |
|---|---|---|
| Free Mobile | 27 millions d’euros | Sécurité (article 32), information des personnes (article 34), durée de conservation (article 5-1-e) |
| Free | 15 millions d’euros | Sécurité (article 32), information des personnes (article 34) |
Le premier manquement porte sur la sécurité. Au jour de la violation, la procédure d’authentification au VPN des deux sociétés manquait de robustesse. Ce VPN servait en particulier au travail à distance des employés. De plus, les mesures de détection des comportements anormaux sur le système d’information se sont révélées inefficaces.
La formation restreinte, l’organe de la CNIL qui prononce les sanctions, rappelle un principe utile. Aucune mesure n’élimine tout risque. En revanche, de bonnes mesures réduisent la probabilité d’une attaque et en limitent la gravité.
Pour fixer les montants, elle a tenu compte notamment des capacités financières des sociétés et de la méconnaissance de principes de sécurité élémentaires. Elle a aussi retenu le nombre de personnes concernées et le caractère « hautement » personnel des données, en particulier les IBAN.
Un courriel d’information jugé incomplet
Free et Free Mobile ont informé leurs abonnés en deux temps. D’abord, un courriel d’information. Ensuite, un numéro vert et un dispositif interne de traitement des demandes auprès du délégué à la protection des données.
La CNIL a pourtant retenu un manquement à l’article 34. Le courriel ne comportait pas toutes les informations exigées par le paragraphe 2 de cet article. Ainsi, les abonnés ne pouvaient pas comprendre directement les conséquences de la violation, ni les mesures à prendre pour s’en protéger.
La leçon vaut pour tout organisme. Un message qui annonce une fuite sans dire ce que la personne risque et ce qu’elle doit faire ne remplit pas l’obligation. Relisez votre modèle de communication avec notre guide sur la communication d’une violation aux personnes notifiées. Notre fiche sur l’information après une violation complète ce travail.
Free Mobile sanctionnée aussi pour sa durée de conservation
Au jour du contrôle, Free Mobile ne disposait d’aucune mesure pour trier les données des anciens abonnés. Elle devait pourtant ne garder que les données nécessaires à des fins comptables, puis les supprimer à l’échéance. La CNIL a donc estimé que la société avait conservé des millions de données sans justification, pendant une durée excessive.
En cours de procédure, Free Mobile a lancé un tri pour conserver dix ans les seules données utiles à ses obligations comptables. Elle a aussi supprimé une partie des données en trop. Notre fiche sur la conservation excessive sanctionnée montre comment éviter ce reproche.
Les injonctions et les vérifications à faire chez vous
La CNIL a enjoint aux deux sociétés d’achever leurs nouvelles mesures de sécurité dans un délai de trois mois. De son côté, Free Mobile doit finaliser le tri et la purge des données sous six mois à compter de la notification de la délibération.
Commencez par l’accès à distance. Vérifiez la robustesse de l’authentification de votre VPN et de vos accès de télétravail. Contrôlez ensuite que vos journaux de connexion sont réellement analysés et qu’une connexion anormale déclenche une alerte.
Passez ensuite à vos anciens clients ou usagers. Leurs données suivent-elles une durée de conservation définie, avec un tri et une suppression effectifs ? Enfin, faites relire votre modèle de communication en cas de violation : il doit indiquer les conséquences probables et les gestes de protection. DPO Suite, notre application de conformité, tient le registre de ces violations.
Sources
Les faits, les montants et les manquements viennent du communiqué de la CNIL Violation de données : sanction de 42 millions d’euros à l’encontre des sociétés FREE MOBILE et FREE, qui renvoie aux délibérations SAN-2026-001 et SAN-2026-002 publiées sur Légifrance.
