Les développements de la délibération comportant des données à caractère personnel ou des secrets protégés par la loi sont remplacés par le signe […]

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. KLING, membres,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;

Vu la décision n° 2024-205C du 6 novembre 2024 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;

Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 17 février 2025 ;

Vu le rapport de M. Tarissan, commissaire rapporteur, notifié à la société le 25 juillet 2025 ;

Vu les observations écrites de la société FREE MOBILE reçues le 15 septembre 2025 ;

Vu la réponse du rapporteur notifiée à la société FREE MOBILE le 15 octobre 2025 ;

Vu les observations écrites de la société FREE MOBILE reçues le 17 novembre 2025 ;

Vu la clôture de l’instruction notifiée à la société FREE MOBILE le 18 novembre 2025 ;

Vu la demande de huis-clos formulée le 15 septembre 2025 et refusée le 3 décembre 2025 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 15 décembre 2025 ;

Vu la note en délibéré produite par la société le 19 décembre 2025 ;

Vu les autres pièces du dossier,

Étaient présents, lors de la séance de la formation restreinte du 15 décembre 2025 :

– Monsieur Tarissan, commissaire, entendu en son rapport ;

En qualité de représentants de la société FREE MOBILE :

– […]

Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que le mis en cause peut, s’il le souhaite, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte.

La société FREE MOBILE ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier.

Après en avoir délibéré, a adopté la décision suivante :

I. Faits et procédure

1. Le groupe ILIAD, spécialisé dans les télécommunications en Europe, compte plus de 50,2 millions d’abonnés. La société française ILIAD est la maison mère du groupe du même nom. Elle détient à 100 % la société FREE MOBILE (ci-après la société ), qui exerce une activité d’opérateur de téléphonie mobile et comptait, au 31 décembre 2024, environ 15,5 millions d’abonnés mobiles. En 2024, le chiffre d’affaires de la société ILIAD était de 10,024 milliards d’euros pour un résultat net de 367 millions d’euros.

2. La société FREE MOBILE a été alertée le 21 octobre 2024, par un attaquant s’étant introduit dans son système d’information, de la compromission de la confidentialité des données de ses abonnés (y compris d’abonnés convergents c’est-à-dire à la fois clients de la société FREE MOBILE et de la société FREE). A la suite de cette alerte, la société a conduit des investigations qui ont permis de confirmer la survenance d’une violation de données (ci-après la violation de données en cause ). Celle-ci a duré du 28 septembre au 22 octobre 2024.

3. La société a notifié cette violation de données à la Commission nationale de l’informatique et des libertés (ci-après la Commission ou la CNIL ), le 23 octobre 2024, puis a complété cette notification le 5 novembre 2024. Par ailleurs, elle a informé les personnes concernées de la survenance de la violation de données, par courriel, de manière échelonnée entre le 24 et le 29 octobre 2024 afin de ne pas saturer les serveurs de messagerie.

4. Au jour de la notification du rapport de sanction, la CNIL avait reçu 2 614 plaintes de personnes concernées par cette violation de données.

5. Par décision n° 2024-205C du 6 novembre 2024, la Présidente de la Commission a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ou LIL ) et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le RGPD ou le Règlement ), de tout traitement mis en œuvre par les sociétés FREE MOBILE et FREE.

6. En application de cette décision, le 8 novembre 2024, une délégation a procédé à une mission de contrôle sur place dans les locaux des sociétés FREE MOBILE et FREE sis 16 rue de la Ville L’Évêque à Paris (75008).

7. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 17 février 2025, désigné Monsieur Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.

8. Le 24 juillet 2025, la présidente de la Commission a informé les sociétés FREE MOBILE et FREE de sa décision de disjoindre la procédure de sanction initialement intentée à l’égard des deux sociétés, chacune de celles-ci étant désormais poursuivies dans le cadre d’une procédure distincte.

9. A l’issue de son instruction, le rapporteur a fait notifier le 25 juillet 2025 à la société FREE MOBILE un rapport détaillant les manquements aux articles 5-1-e), 32 et 34 du RGPD qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et une injonction assortie d’une astreinte de mettre en conformité le traitement avec les dispositions des articles 5- 1- e) et 32 du RGPD. Il proposait également que cette décision soit rendue publique.

10. Le 15 septembre 2025, la société a produit des observations en réponse au rapport de sanction.

11. Le rapporteur a répondu aux observations de la société le 15 octobre 2025.

12. Le 17 novembre 2025, la société a produit ses secondes observations en réponse.

13. Par courrier du 18 novembre 2025, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 susvisé, informé la société et le président de la formation restreinte que l’instruction était close.

14. Par courrier du 18 novembre 2025, la société a été informée que le dossier était inscrit à l’ordre du jour de la séance de la formation restreinte du 4 décembre 2025.

15. Le 18 novembre 2025, la société a, par l’intermédiaire de son conseil, sollicité le report de la séance de la formation restreinte. Le 25 novembre 2025, le président de la formation restreinte a fait droit à cette demande de report et a informé la société de l’inscription du dossier à l’ordre du jour de la séance du 15 décembre 2025.

16. Le 3 décembre 2025, le président de la formation restreinte a refusé la demande de huis-clos formée par la société dans ses observations du 15 septembre 2025. Il a rappelé que la procédure devant la formation restreinte étant écrite et que si la société ne souhaitait pas dévoiler devant des tiers des éléments susceptibles de lui porter préjudice, elle pouvait, lors de la séance, renvoyer à ses observations écrites.

17. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. La violation de données en cause

18. Il résulte de l’enquête menée par la société FREE MOBILE, à la suite de l’alerte reçue le 21 octobre 2024, que l’attaquant s’est d’abord connecté à son réseau privé virtuel (ci-après VPN ) […]

19. L’attaquant s’est ensuite connecté à l’outil de gestion des abonnés de la société, […]. Cet outil permet de consulter les données relatives à la relation commerciale des clients de la société FREE MOBILE. Il ne donne pas directement accès aux données brutes mais propose une fonctionnalité recherche à travers un formulaire à remplir (par exemple, saisie d’un nom ou d’un numéro d’abonné). Une fois la recherche lancée, le système interroge la base de données des abonnés mobiles de la société FREE MOBILE, mais également celle des abonnés fixes de la société FREE lorsque les clients sont dits convergents (dans les cas où un client est un abonné à la fois de la société FREE MOBILE et de la société FREE). Le système renvoie uniquement les résultats correspondant à la recherche en les affichant grâce à la fonction consultation . C’est donc cette dernière qui permet d’afficher à l’écran de l’utilisateur les données à caractère personnel spécifiques d’un client à la suite d’une recherche .

20. Une fois connecté à l’outil MOBO, l’attaquant a ainsi pu accéder aux données à caractère personnel d’abonnés de la société, à savoir leurs données d’identité, leurs données de contact, leurs données contractuelles et, pour les clients dits convergents , leur IBAN.

21. Au total, l’attaquant a pu prendre connaissance, des données concernant 24 633 469 contrats, dont 19 460 891 contrats mobiles (FREE MOBILE) et 5 172 577 contrats fixes (FREE).

III. Motifs de la décision

A. Sur la responsabilité de traitement de la société FREE MOBILE

22. Aux termes de l’article 4, alinéa 7, du RGPD, le responsable de traitement est la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement .

23. Dans son rapport, le rapporteur souligne que la délégation a été informée lors du contrôle que, dans le cadre de son activité d’opérateur de téléphonie mobile, la société FREE MOBILE dispose de sa propre base de données d’abonnés mobiles, qu’elle alimente avec les données de ses propres clients. Son outil de gestion de clientèle MOBO lui permet d’accéder à sa base de données, ainsi qu’à la base de données d’abonnés fixes gérée par la société FREE pour les clients dits convergents . Lors du contrôle, les sociétés FREE MOBILE et FREE ont indiqué à la délégation être chacune responsable des traitements liés à la gestion de leur clientèle respective, ce qui correspond à ce qui est inscrit dans leurs registres. Le rapporteur n’a pas remis en cause cette qualification juridique dans le cadre de la présente procédure.

24. La société ne conteste pas être responsable du traitement relatif à la gestion de sa propre clientèle. Elle reproche cependant au rapporteur d’imputer indistinctement des manquements aux sociétés FREE MOBILE et FREE, sur la base des mêmes constats, sans prendre en compte leurs traitements et responsabilités respectifs.

25. La formation restreinte relève, à titre liminaire, que la violation de données a touché à la fois le système d’information de la société FREE MOBILE et celui de la société FREE, filiales du même groupe. Lors du contrôle de la CNIL au sein des deux sociétés, celles-ci étaient en partie représentées par les mêmes personnes (notamment, le président et le responsable réseau). Il a été constaté que certaines mesures de sécurité étaient communes aux deux sociétés […].

26. A l’issue de son instruction, le rapporteur a considéré, à l’instar des deux sociétés, que chacune d’elles met en œuvre un traitement relatif à la gestion de ses propres abonnés, à l’aide d’outils qui lui sont propres, dont chacune est responsable de traitement. Au regard des éléments du dossier, la formation restreinte partage cette position.

27. La formation restreinte observe que, compte tenu de la responsabilité particulière de chacune des deux sociétés, la présidente de la Commission a décidé, le 24 juillet 2025, d’engager deux procédures de sanction autonomes à l’encontre des sociétés FREE MOBILE et FREE. Ainsi, les deux sociétés répondent chacune des obligations relatives à leur propre système d’information.

28. La formation restreinte relève que le rapport de sanction à l’encontre de la société FREE MOBILE fait état de manquements reprochés à cette dernière au regard du traitement relatif à la gestion des abonnés mobiles dont elle est seule responsable (ci-après dénommé traitement en cause ). Il appartient à la formation restreinte d’examiner si les manquements allégués sont constitués et imputables à la société FREE MOBILE, conformément au principe de responsabilité personnelle.

29. La formation restreinte rappelle qu’elle n’entend pas se prononcer sur la survenance de la violation de données en tant que telle mais bien sur le fait de déterminer si, la société a ou non manqué à ses obligations de moyens au titre du RGPD, en qualité de responsable du traitement.

30. Par conséquent, la formation restreinte écarte l’argument de la société, qui considère que des manquements sont indistinctement reprochés par le rapporteur aux sociétés FREE MOBILE et FREE sur la base de mêmes constats, sans prise en compte de leurs responsabilités individuelles respectives.

B. Sur le manquement à l’obligation de conserver les données pour une durée proportionnée à la finalité du traitement en application de l’article 5-1-e) du RGPD

31. Aux termes de l’article 5, paragraphe 1, e) du RGPD, les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées […] .

32. En application de ces dispositions, il incombe au responsable de traitement de définir une durée de conservation conforme à la finalité du traitement. Lorsque cette finalité est atteinte, les données doivent être supprimées ou anonymisées, ou faire l’objet d’un archivage intermédiaire pour une durée déterminée lorsque leur conservation est nécessaire, par exemple pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses notamment.

33. A titre d’illustration, la délibération n° 2021-131 du 23 septembre 2021 portant adoption d’un référentiel relatif aux traitements mis en œuvre aux fins de gestion des activités commerciales recommande à des fins d’obligations comptables une durée de conservation, sous la forme d’archive intermédiaire, de dix ans.

34. Le rapporteur relève, qu’au jour du contrôle, la société n’avait pas mis en place de mesure permettant de trier les données des anciens abonnés qu’elle entendait conserver à des fins comptables durant dix ans. De plus, il souligne qu’une fois cette durée de dix ans atteinte, le mécanisme de purge des données n’était pas complètement opérationnel, de sorte que les données n’étaient jamais supprimées. La société conservait donc des données à caractère personnel de millions d’anciens abonnés pendant une durée excessive, ce qui constitue un manquement à l’article 5-1-e) du RGPD.

35. En défense, la société précise sa politique de durées de conservation des données.

36. Elle indique qu’afin de fournir ses produits et services, elle conserve les données à caractère personnel de ses abonnés pendant toute la durée du contrat. Elle précise que le terme contrat renvoie à la fois au contrat principal et aux contrats accessoires (par exemple, une ligne secondaire, la location de terminal mobile). Dès lors, elle conserve les données à caractère personnel de ses abonnés tant qu’un contrat (principal ou accessoire), dont ils sont titulaires, est en cours. Elle estime ainsi justifier la conservation des données de ses abonnés, qui ont résilié leur contrat principal, mais bénéficient toujours d’un contrat accessoire. Par exemple, les données d’identification, de facturation et de paiement restent nécessaires pour la gestion d’une location de terminal.

37. Par ailleurs, la société reconnaît avoir commis une erreur de déclaration lors du contrôle s’agissant de la durée de conservation des données à des fins de lutte contre la fraude. Elle précise conserver, à l’expiration du contrat, les données à caractère personnel de ses anciens abonnés pendant cinq ans, et non pas dix ans, à des fins de lutte contre la fraude.

38. En outre, elle indique conserver les données de ses abonnés pendant dix ans pour s’acquitter d’obligations comptables. La société soutient être tenue de conserver au titre des données de facturation, les données d’identification de l’abonné (nom, prénom, adresse), son identifiant client, le type d’offre souscrite, son IBAN et l’historique de ses règlements. Elle précise avoir lancé un projet afin de conserver uniquement les factures en format PDF, ce qui lui créera des difficultés techniques dans son système d’information pour faire le lien entre une facture, un paiement et l’abonné concerné.

39. La société reconnaît qu’au jour du contrôle son mécanisme de purge des données n’était pas pleinement opérationnel, ce qu’elle justifie par des contraintes techniques. Elle ajoute qu’alors qu’elle a débuté son activité en 2012, la question de la suppression des données ne s’est posée que très récemment. Par ailleurs, l’architecture de son système d’information s’accorde difficilement avec des opérations de purge à grande échelle, compte tenu du risque de blocage des services métiers. Elle précise avoir débuté ce projet en 2023 afin de supprimer progressivement les données par lots (un premier lot en cours au jour du contrôle concernant les factures, suivi d’un second lot concernant les données des anciens abonnés qui devait être finalisé d’ici la fin d’année 2025). Elle soutient avoir conservé, au jour du contrôle, un nombre résiduel de données pendant une durée supérieure à dix ans et fait valoir avoir, au cours de la procédure, procédé à une purge manuelle de celles-ci.

40. Enfin, la société soutient que l’attaquant n’a pas accédé à des données à caractère personnel conservées pendant une durée excessive par la société dès lors que le compte usurpé ne permettait d’accéder qu’aux contrats en cours et à ceux résiliés depuis moins d’un an.

41. La formation restreinte relève que, si la politique de confidentialité de la société définit des durées de conservation différenciées en fonction des finalités poursuivies (notamment obligations comptables et lutte contre la fraude), les constatations réalisées au sein de la base de données de la société, associées aux déclarations de la société, démontrent l’absence de mise en œuvre effective de ces durées de conservation.

42. En effet, compte tenu du déploiement d’un mécanisme de purge qui n’était pas achevé au jour du contrôle, les données contenues dans la base de données de la société liées aux factures et aux abonnements résiliés étaient potentiellement conservées indéfiniment sans qu’aucune distinction ne soit faite en fonction des finalités poursuivies. La délégation de contrôle a ainsi constaté la présence de données (identifiant du compte, civilité, prénom, nom, adresse électronique et données contractuelles) relatives à plus de quinze millions de contrats résiliés depuis plus de cinq ans, dont trois millions depuis plus de dix ans.

43. Parmi ces trois millions de contrats pour lesquels les données étaient conservées depuis plus de dix ans, la société n’en justifie la conservation que pour 254 809 par l’existence d’autres contrats en cours d’exécution. Pour les 2 806 690 autres contrats, la société reconnait leur conservation pendant une durée excessive, qu’elle explique par des difficultés techniques liées à son mécanisme de purge alors en cours de déploiement.

44. La formation restreinte considère que ces difficultés ou défaillances techniques n’exonèrent pas la société de sa responsabilité de s’assurer du tri ou de la suppression des données aux échéances de leurs durées de conservation telles qu’elle les a elle-même définies.

45. La formation restreinte note que la société a indiqué, au cours de la procédure, avoir supprimé les données conservées depuis plus de dix ans à compter de la fin de la relation contractuelle, sans justification, à l’exception d’un reliquat de données relatives à 16 238 comptes, compte tenu de contraintes techniques. La société a indiqué que celui-ci sera supprimé d’ici la fin 2025.

46. Dès lors, la formation restreinte estime que la société a conservé, au jour du contrôle, des millions de données pendant une durée supérieure à dix ans, sans justification, ce qui est manifestement excessif.

47. S’agissant des données des contrats conservées pendant plus de cinq ans après la résiliation du contrat, la formation restreinte rappelle que la conservation de données au-delà de cette durée peut être justifiée pour une autre finalité que celle mentionnée par la société de lutte contre la fraude.

48. En effet, elle relève que la conservation de certaines données pendant une durée supérieure à cinq ans suivant la résiliation du contrat peut être justifiée par le respect de l’article L.123-22 du code de commerce, qui prévoit une obligation de conserver les données de facturation à des fins comptables pendant dix ans.

49. A l’issue des cinq années suivant la fin de la relation contractuelle, la société est dès lors tenue d’effectuer un tri, parmi toutes les données, afin de s’assurer de ne conserver que celles qui lui sont nécessaires à des fins comptables.

50. La formation restreinte note que la société a réalisé ce tri au cours de la procédure de sanction. Elle a décidé de conserver, pendant une durée supérieure à cinq ans suivant la résiliation du contrat, uniquement les factures au format PDF. La formation restreinte rappelle que la société n’est pas tenue de conserver les données de facturation uniquement en format PDF et peut les conserver, en format brut , dans sa base de données. Par ailleurs, la formation restreinte note que les données qui peuvent être conservées au titre de la facturation sont énumérées dans l’annexe de l’arrêté du 31 décembre 2013 relatif aux factures des services de communications électroniques et à l’information du consommateur sur la consommation au sein de son offre, et relève que celle-ci ne vise notamment pas les IBAN, de sorte que le tri réalisé en cours de procédure par la société, qui inclut notamment l’IBAN comme une donnée à conserver, sans pour autant en avoir démontré l’utilité, n’est pas conforme au cadre réglementaire.

51. Ainsi, la formation restreinte considère, qu’au jour du contrôle, en conservant l’intégralité des données de ses anciens abonnés pendant plus de cinq ans après la résiliation du contrat, sans réaliser de tri pour s’assurer de ne conserver, pendant une durée plus longue, que celles qui étaient nécessaires à des fins de facturation, la société a conservé des données pendant une durée excessive.

52. Il résulte de ce qui précède que la formation restreinte considère qu’en conservant des données pendant des durées excessives la société a commis un manquement à l’article 5-1-e) du RGPD.

53. La formation restreinte note que la société a pris des mesures en cours de procédure, afin de supprimer certaines données à caractère personnel conservées pendant une durée excessive. Cependant, au jour de la séance, elle relève que la société ne démontre pas avoir procédé à la suppression des données relatives à 16 238 comptes résiliés depuis plus de dix ans. La société précise avoir prévu de lancer une purge en décembre 2025 afin de supprimer ces données. Par ailleurs, la société ne justifie pas, au jour de la séance, de la suppression des données qui ne lui sont pas strictement nécessaires à des fins comptables et qu’elle conservait, au jour du contrôle, pendant plus de cinq ans. La société précise que des mesures de mise en conformité sont en cours de déploiement et seront finalisées en juin 2026.

C. Sur le manquement à l’obligation d’assurer la sécurité des données en application de l’article 32 du RGPD

54. L’article 32, paragraphe 1, du RGPD dispose que compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque y compris entre autres, selon les besoins :

a) la pseudonymisation et le chiffrement des données à caractère personnel ;

b) des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;

c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ;

d) une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement […] .

55. L’article 32, paragraphe 2, du RGPD prévoit que lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite .

1. La portée de l’obligation de sécurité prévue à l’article 32 du RGPD et la prévisibilité du cadre juridique applicable

56. La société soutient que l’obligation de sécurité prévue à l’article 32 du RGPD est une obligation de moyens et pas de résultat, de sorte que la survenance d’une violation de données ne saurait suffire à caractériser un manquement à cet article.

57. Par ailleurs, la société considère, compte tenu de l’absence de caractère prescriptif de l’article 32 du RGPD et de valeur contraignante des guides et recommandations de la CNIL et de l’ANSSI, que la formation restreinte ne peut pas caractériser un manquement à l’article 32 du RGPD sur le fondement d’instrument de droit souple sans violer le principe de légalité des délits et des peines, qui exige que la règle méconnue soit suffisamment claire et prévisible dans son application. Elle ajoute ne pas avoir pu bénéficier de précédents qui lui auraient permis d’apprécier la nature des mesures qui était attendues en ce qu’elle serait le premier organisme, victime d’un acte de malveillance extérieur, visé par une procédure de sanction de la CNIL sur le fondement de l’article 32 du RGPD.

58. En premier lieu, la formation restreinte rappelle que l’obligation de sécurité prévue par l’article 32 du RGPD est effectivement une obligation de moyens, qui impose au responsable du traitement de prendre des mesures qui, au regard des caractéristiques du traitement en cause, permettent à la fois de réduire la probabilité de la survenance d’une violation de données et le cas échéant, d’en atténuer la gravité. Il n’est donc pas attendu que les mesures de sécurité permettent d’éliminer toute forme de risque, et la simple survenance d’une violation de données ne caractérise pas à elle seule un manquement à l’article 32 du RGPD.

59. Cette analyse a été confirmée par la CJUE dans son arrêt Agence nationale des recettes publiques de Bulgarie (14 décembre 2023, C/2024/1065, points 29 à 31). La formation restreinte relève que, dans cet arrêt, la CJUE a retenu que la référence, figurant à l’article 32, paragraphes 1 et 2, du RGPD, à un niveau de sécurité adapté au risque et à un niveau de sécurité approprié témoigne de ce que ce règlement instaure un régime de gestion des risques et qu’il ne prétend nullement éliminer les risques de violations des données à caractère personnel. Ainsi, il ressort des libellés des articles 24 et 32 du RGPD que ces dispositions se bornent à imposer au responsable du traitement d’adopter des mesures techniques et organisationnelles destinées à éviter, dans toute la mesure du possible, toute violation de données à caractère personnel. Le caractère approprié de telles mesures doit être évalué de manière concrète, en examinant si ces mesures ont été mises en œuvre par ce responsable en tenant compte des différents critères visés auxdits articles et des besoins de protection des données spécifiquement inhérents au traitement concerné ainsi qu’aux risques induits par ce dernier. Partant, les articles 24 et 32 du RGPD ne sauraient être compris en ce sens qu’une divulgation non autorisée de données à caractère personnel ou un accès non autorisé à de telles données par un tiers suffisent pour conclure que les mesures adoptées par le responsable du traitement concerné n’étaient pas appropriées, au sens de ces dispositions, sans même permettre à ce dernier d’apporter la preuve contraire.

[… passage central omis : décision trop longue pour une cellule …]

176. Enfin, la société considère que le nombre important de plaintes reçues par la CNIL résulte de la médiatisation exceptionnelle de la violation de données, à laquelle la CNIL a participé. Elle considère que les fraudes et tentatives de fraude, dont font état certains plaignants, ne sont pas imputables à un défaut d’informations de sa part dès lors qu’elle a pris les mesures nécessaires pour sensibiliser ses abonnés aux risques de fraude (notamment, par la mise en ligne d’une page d’assistance dédiée au phishing, une campagne de sensibilisation par courriel, la mise en place d’une veille proactive des sites susceptibles de conduire des campagnes de phishing visant ses abonnés).

177. La formation restreinte rappelle que l’article 34 du RGPD impose à un responsable de traitement, victime d’une violation de données, de communiquer certaines informations aux personnes concernées lorsque la violation de données est susceptible d’engendrer un risque élevé pour leurs droits et libertés.

178. La formation restreinte rappelle également que, comme le souligne le Comité européen de la protection des données (ci-après CEPD ) dans ses lignes directrices sur la notification de violations de données à caractère personnel en vertu du règlement (UE) 2016/679 adoptées le 28 mars 2023, l’objectif principal [de l’article 34 du RGPD] est d’aider les personnes concernées à comprendre la nature de la violation ainsi que les mesures qu’elles peuvent mettre en place pour se protéger .

179. Ainsi, le paragraphe 2 de l’article 34 du RGPD prévoit que la communication aux personnes concernées doit décrire la nature de la violation de données à caractère personnel et contenir au moins les informations et mesures mentionnées à l’article 33, paragraphe 3, points b), c) et d). Ces informations concernent le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues (point b), la description des conséquences probables de la violation de données à caractère personnel (point c), et la description des mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives (point d).

180. La formation restreinte considère qu’il résulte de la rédaction du paragraphe 2 de l’article 34 du RGPD que les informations énumérées ci-dessus sont celles qui doivent, a minima, être communiquées aux personnes concernées par une violation de données à caractère personnel lorsque celle-ci est susceptible d’engendrer un risque élevé pour leurs droits et libertés.

181. Dès lors, ces informations doivent être adressées directement aux personnes concernées, dans un premier niveau d’information, car elles sont essentielles pour atteindre l’objectif poursuivi par la communication : leur permettre de comprendre la nature de la violation, ainsi que les mesures qu’elles peuvent mettre en place pour se protéger.

182. Par ailleurs, la formation restreinte observe que l’obligation, pour un responsable de traitement, de communiquer le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact , comme prévu par le point b) du paragraphe 2 de l’article 33 du RGPD, a pour objectif de fournir aux personnes concernées par la violation de données des informations supplémentaires . La formation restreinte estime que ces informations viennent donc compléter les informations essentielles devant figurer dans le premier niveau d’information et ne sauraient s’y substituer.

183. En ce sens, la formation restreinte relève que, dans ses lignes directrices sur la notification de violations de données à caractère personnel en vertu du règlement (UE)2016/679 adoptées le 28 mars 2023, le CEPD rappelle qu’ un responsable du traitement peut choisir de fournir des informations complémentaires à celles présentées ici [article 33, paragraphe 3, points b), c) et d)] comme nécessaires .

184. Autrement dit, l’article 34, paragraphe 2, du RGPD, qui renvoie à son article 33, paragraphe 3, point b), prévoit la possibilité de communiquer auprès des personnes concernées à deux niveaux d’information : un premier, obligatoire, comportant les informations essentielles et un second comportant des informations complémentaires que le responsable du traitement souhaite porter à la connaissance des personnes.

185. En l’espèce, en premier lieu, la formation restreinte relève que la société a adressé aux personnes concernées par la violation de données un premier courriel d’information, qui constitue un premier niveau d’information. La société a, par ailleurs, mis en place un numéro vert gratuit, accessible 7 jours sur 7, de 9 heures à 18 heures, dont elle communique les coordonnées dans son courriel initial, ainsi qu’un système de ticket DPO , pour répondre aux questions complémentaires des personnes, qui constitue un second niveau d’information.

186. La formation restreinte considère que la forme de la communication réalisée à destination des personnes concernées est conforme aux exigences posées par l’article 34, paragraphe 2, du RGPD.

187. En deuxième lieu, la formation restreinte relève que le courriel adressé aux personnes concernées les informait du fait que la société avait été victime d’une cyberattaque ciblant son outil de gestion, ayant entraîné un accès non autorisé à une partie des données à caractère personnel associées aux comptes des abonnés (leurs nom, prénom, adresse électronique, adresse postale, date et lieu de naissance, numéro de téléphone, identifiant abonné et données contractuelles). Ce courriel précisait également que toutes les mesures nécessaires ont été prises immédiatement pour mettre fin à cette attaque et renforcer la protection de [ses] systèmes d’information , que la violation de données avait été notifiée à la CNIL, ainsi qu’à l’ANSSI, et qu’une plainte avait également été déposée auprès du procureur de la République. En outre, la société invitait les personnes concernées à la plus grande vigilance face au risque d’emails, SMS ou appels frauduleux , précisait que ses conseillers ne demandaient jamais la communication à l’oral de mot de passe et les invitait, en cas de suspicion ou de situation anormale à contacter le service officiel d’assistance aux victimes numériques sur le site web cybermalveillance.gouv.fr afin d’effectuer un signalement. Enfin, pour toute question et demande de renseignement , le courriel précisait que la société tenait à la disposition des personnes concernées un numéro vert, gratuit, accessible 7 jours sur 7, de 9 heures à 18 heures.

188. La formation restreinte estime que, si la majorité des informations essentielles figuraient dans le courriel d’information initial et que le mode de communication permettait aux personnes concernées d’accéder aux autres informations essentielles par l’intermédiaire du second niveau d’information, il n’en demeure pas moins que certains éléments importants n’étaient pas mentionnés.

189. S’agissant de l’information relative aux mesures de remédiation, il est admis que, dans certains cas, des mesures de sécurité déployées par un organisme doivent effectivement rester secrètes afin de ne pas exposer son système d’information à des risques de nouvelles attaques. La formation restreinte précise, cependant, que toutes les mesures de sécurité mises en œuvre par un organisme ne présentent pas un risque pour la sécurité d’un système d’information et n’ont donc pas nécessairement vocation à demeurer secrètes.

190. La formation restreinte observe que la société a uniquement indiqué aux personnes concernées par la violation de données en cause que toutes les mesures nécessaires ont été prises immédiatement pour mettre fin à cette attaque et renforcer la protection de nos systèmes d’information , ce qui constitue, selon la formation restreinte, une formulation trop générale et abstraite pour se conformer à l’article 34, paragraphe 2, du RGPD. En effet, l’article 33, paragraphe 3, point d), auquel l’article susmentionné renvoie, prévoit une obligation de décrire ces mesures.

191. La formation restreinte estime dès lors que, sans mettre en danger son système d’information, la société aurait dû décrire , même brièvement, dans des termes simples, les principales mesures correctives qu’elle avait prises pour remédier à la violation de données en cause. La formation restreinte rappelle que l’objectif de cette communication est de rassurer les personnes concernées sur la protection effective de leurs données à caractère personnel.

192. La formation restreinte relève que, dans le cadre de la notification initiale effectuée auprès de la CNIL quelques jours avant la communication réalisée auprès des personnes concernées, la société avait bien décrit ces mesures, conformément à l’article 33 du RGPD (obligation de notifier la violation de données à la Commission). Sans entrer dans le détail de ces mesures pour permettre la lisibilité de la communication aux personnes, la formation restreinte considère que la société aurait notamment dû indiquer avoir procédé à la révocation des accès compromis, à la correction de vulnérabilités liées à son outil métier, et au renforcement des contrôles des accès aux données à caractère personnel. Ces éléments d’information sont compréhensibles pour les personnes concernées et ne sont pas de nature à compromettre le système d’information de la société.

193. S’agissant de l’information relative aux conséquences probables de la violation de données en cause et des mesures à prendre pour en atténuer les éventuelles conséquences négatives, la formation restreinte rappelle que la société a indiqué aux personnes concernées nous vous invitons à la plus grande vigilance face au risque d’emails, SMS ou appels frauduleux. Sachez que nos conseillers ne vous demanderont jamais vos mots de passe à l’oral. En cas de suspicion ou de situation anormales, nous vous invitons à contacter le service officiel d’assistance aux victimes numériques sur : www.cybermalveillance.gouv.fr pour effectuer un signalement et faire valoir vos droits .

194. La formation restreinte estime que cette formulation est trop vague pour atteindre l’objectif d’aider les personnes concernées à comprendre les principaux risques auxquels elles sont exposées, ainsi que les mesures qu’elles peuvent mettre en place pour s’en protéger.

195. En effet, d’une part, la formation restreinte considère que les personnes concernées ne sont pas mises en mesure d’appréhender le contexte dans lequel elles pourraient être sollicitées par courriel, SMS ou téléphone, ni de comprendre les réflexes à adopter pour se prémunir des conséquences négatives. La formation restreinte observe que la société avait pourtant bien identifié, dans le cadre des scripts de questions/réponses mis à la disposition des conseillers répondant aux appels, qu’il existait un scénario de risque relatif à des tentatives de fraude en se faisant passer pour Free ou tout autre organisme . La formation restreinte note qu’elle avait également identifié des recommandations à prodiguer aux personnes (par exemple : ne jamais communiquer ses informations personnelles par email, SMS ou lors d’un appel, ne jamais ouvrir une pièce jointe d’un courriel en cas de doute). La formation restreinte considère que ces informations, identifiées au jour de l’envoi du courriel d’information, auraient dû être transmises de manière synthétique aux personnes concernées.

196. D’autre part, la formation restreinte considère qu’en visant uniquement le risque d’emails, SMS ou appels frauduleux , la société n’a pas communiqué l’ensemble des principaux risques auxquels sont exposées les personnes concernées par la violation. La société les avait pourtant identifiés lors de sa notification initiale auprès de la CNIL, ainsi que dans les scripts de questions/réponses fournis aux conseillers répondant aux appels. A titre d’exemple, s’agissant du risque d’usurpation d’identité, dès lors que les personnes le découvrent généralement a posteriori, la formation restreinte estime qu’une mention de ce risque, susceptible de causer un préjudice important en cas de réalisation, associé à un renvoi vers la page dédiée du site cybermalveillance.gouv.fr, qui communique des informations sur les principaux signes dont il faut se méfier, aurait été plus efficace qu’un renvoi vers sa page d’accueil, compte tenu de la densité d’informations qui figurent sur ce site, et qui ne sont pas toutes appropriées au cas d’espèce. L’avantage d’une telle approche est de communiquer sur le risque et d’apporter des informations plus détaillées, sans nuire à l’ergonomie ni à la lisibilité de l’information.

197. En troisième lieu, la formation restreinte relève que la communication de la CNIL intitulée Violations massives de données en 2024 : quels sont les principaux enseignements et mesures à prendre du 28 janvier 2025 mentionnait des violations de données de différents responsables de traitement dont celle de la société. D’une part, elle estime que cette communication n’a pas accru le nombre de plaintes dès lors que dès décembre 2024, la CNIL avait déjà reçu la très grande majorité des plaintes sur les 2 614 reçues au jour de la notification du rapport le 25 juillet 2025, ce qui constituait un nombre record. D’autre part, la communication n’a pas augmenté le nombre de plaintes déposées à l’encontre des autres responsables de traitement cités.

198. Il résulte de ce qui précède que, le courriel d’information initial n’a pas constitué une communication appropriée, dès lors que les seules informations qu’il contenait ne permettaient pas aux millions de personnes concernées par la violation de données en cause d’être rassurées sur le fait que la société avait bien pris les mesures de remédiation nécessaires, ni de comprendre les risques auxquels elles étaient exposées, dont ceux liés à des emails, SMS ou appels frauduleux , ni les mesures à prendre pour s’en prémunir.

199. Dès lors, la formation restreinte considère que la société a commis un manquement à l’article 34 du RGPD en ne communiquant pas aux personnes concernées par la violation de données les informations nécessaires dès le premier niveau d’information.

IV. Sur les mesures correctrices

200. Aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]

201. 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;

202. 7° À l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 .

203. L’article 83 du RGPD prévoit en outre que chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.

204. Le deuxième alinéa de l’article 22 de la loi Informatique et Libertés dispose ensuite que la formation restreinte peut rendre publique les mesures qu’elle prend .

205. Le considérant 150 du RGPD prévoit que lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l’Union européenne .

206. Les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679 précisent que la notion d’entreprise doit s’entendre comme une unité économique pouvant être formée par la société mère et toutes les filiales concernées. Conformément au droit et à la jurisprudence de l’Union, il y a lieu d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée .

207. Dans un arrêt du 5 décembre 2023 (CJUE, grande chambre, C-807/21), la CUJE a considéré, s’agissant de la notion d’ entreprise qu’ ainsi que l’a relevé M. l’avocat général au point 45 de ses conclusions, c’est dans ce contexte spécifique du calcul des amendes administratives imposées pour des violations visées à l’article 83, paragraphes 4 à 6, du RGPD qu’il y a lieu d’appréhender le renvoi, effectué au considérant 150 de ce règlement, à la notion d’ » entreprise « , au sens des articles 101 et 102 TFUE. À cet égard, il convient de souligner que, aux fins de l’application des règles de la concurrence, visées par les articles 101 et 102 TFUE, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 6 octobre 2021, Sumal, C 882/19, EU:C:2021:800, point 41 et jurisprudence citée). Ainsi, il ressort de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives pour les violations énumérées dans ces paragraphes, que, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, le montant maximal de l’amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée. En définitive, ainsi que M. l’avocat général l’a relevé au point 47 de ses conclusions, seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire, et donc imposée par l’autorité de contrôle en se fondant, en ce qui concerne le montant de celle-ci, sur la notion d’unité économique au sens de la jurisprudence citée au point 56 du présent arrêt, est susceptible de réunir les trois conditions énoncées à l’article