Le 13 janvier 2026, la CNIL a prononcé deux sanctions administratives à l’encontre des sociétés Free Mobile et Free, respectivement de 27 millions et 15 millions d’euros, à la suite de manquements aux obligations du RGPD.
Ces décisions font suite à une violation de données personnelles majeure survenue en octobre 2024. Les contrôles ont révélé qu’un tiers non autorisé avait pu accéder aux systèmes d’information des deux sociétés, entraînant la compromission de données relatives à environ 24 millions de contrats d’abonnés. Les données concernées incluaient des données d’identification ainsi que des coordonnées bancaires de type IBAN pour les clients communs aux deux entités, caractérisant un risque élevé pour les droits et libertés des personnes.
La CNIL retient d’abord un manquement à l’obligation de sécurité (article 32). Les mesures techniques et organisationnelles ont été jugées insuffisantes : authentification des accès distants via VPN insuffisamment robuste, dispositifs de détection des accès anormaux ou malveillants inexistants ou inadaptés. L’obligation de sécurité impose une approche fondée sur le risque, et la sensibilité des données combinée au volume très élevé de personnes exigeait une protection renforcée.
Elle constate ensuite un manquement à l’obligation d’information des personnes (article 34) : les messages adressés aux abonnés après la violation ne comportaient pas l’ensemble des informations requises (description précise de la violation, conséquences potentielles, mesures de protection), privant les personnes de la possibilité d’exercer utilement leurs droits.
S’agissant spécifiquement de Free Mobile, la CNIL relève enfin un manquement au principe de limitation de la conservation (article 5, 1.e) : conservation de données d’anciens abonnés sans distinction entre ce qui relève d’obligations légales et ce qui est devenu inutile, faute de politique de purge effective.
Compte tenu de la gravité des manquements, du nombre de personnes concernées et de la sensibilité des données, la CNIL a prononcé des sanctions pécuniaires significatives, assorties d’injonctions : mise en conformité des mesures de sécurité sous trois mois et, pour Free Mobile, suppression des données conservées de manière excessive sous six mois.
Sources : CNIL — Sanction Free 2026 ; Le Monde.