Par une décision rendue publique le 11 décembre 2025, la CNIL a prononcé une amende d’un million d’euros à l’encontre de Mobius Solutions Ltd, ancien sous-traitant de la plateforme de streaming Deezer, pour plusieurs manquements au RGPD. Cette décision illustre le niveau d’exigence attendu des sous-traitants, y compris après la fin de leur relation contractuelle.
Contexte et faits
L’affaire trouve son origine dans une notification de violation adressée à la CNIL par Deezer en novembre 2022, après la découverte de données d’utilisateurs diffusées sur le darknet. Les investigations ont établi que ces données provenaient des systèmes de Mobius Solutions, qui avait fourni à Deezer une solution SaaS de gestion de campagnes marketing. Bien que le contrat ait pris fin antérieurement, la société avait conservé une copie complète des données de plus de 46 millions d’utilisateurs, stockées sur un environnement de test non sécurisé partagé avec d’autres clients.
Les manquements constatés
La CNIL retient plusieurs violations. D’abord, la conservation des données après la fin du contrat, contraire à l’article 28 §3 g) qui impose au sous-traitant de supprimer ou restituer les données à l’issue de la prestation. Ensuite, le traitement de certaines données à des fins internes (amélioration de ses propres services) sans instruction de Deezer, incompatible avec le principe selon lequel le sous-traitant n’agit que pour le compte du responsable. Puis un manquement à l’obligation de sécurité (article 32), les données ayant été stockées sur un environnement de test insuffisamment protégé. Enfin, l’absence de registre des activités de traitement, pourtant exigé par l’article 30 pour les sous-traitants traitant des données à grande échelle.
Portée territoriale et enseignements
Bien que Mobius Solutions soit établie hors de l’Union, la CNIL s’est déclarée compétente sur le fondement de l’article 3 : les traitements concernaient des personnes situées dans l’Union et participaient à un suivi de leur comportement. Cette décision constitue un signal fort : les sous-traitants disposent d’une responsabilité autonome et doivent mettre en place des procédures claires de suppression en fin de contrat, un encadrement strict des environnements de test et une documentation complète. Elle rappelle aussi aux responsables de traitement l’importance de contrôler effectivement leurs sous-traitants, même après la fin de la relation.
Source : CNIL — Sanction d’un million d’euros à l’encontre de Mobius Solutions Ltd.