– Les développements de la délibération comportant des données à caractère personnel ou des secrets protégés par la loi sont remplacés par le signe […] –

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. KLING, membres,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;

Vu la décision n° 2024-205C du 6 novembre 2024 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;

Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 24 juillet 2025 ;

Vu le rapport de M. Tarissan, commissaire rapporteur, notifié à la société le 25 juillet 2025 ;

Vu les observations écrites de la société FREE reçues le 15 septembre 2025 ;

Vu la réponse du rapporteur notifiée à la société FREE le 15 octobre 2025 ;

Vu les observations écrites de la société FREE reçues le 17 novembre 2025 ;

Vu la clôture de l’instruction notifiée à la société FREE le 18 novembre 2025 ;

Vu la demande de huis-clos formulée le 15 septembre 2025 et refusée le 3 décembre 2025 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 15 décembre 2025 ;

Vu la note en délibéré produite par la société le 19 décembre 2025 ;

Vu les autres pièces du dossier,

Étaient présents, lors de la séance de la formation restreinte du 15 décembre 2025 :

– Monsieur Tarissan, commissaire, entendu en son rapport ;

En qualité de représentants de la société FREE :

– […] ;

Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que le mis en cause peut, s’il le souhaite, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte.

La société FREE ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier.

Après en avoir délibéré, a adopté la décision suivante :

I. Faits et procédure

1. Le groupe ILIAD, spécialisé dans les télécommunications en Europe, compte plus de 50,2 millions d’abonnés. La société française ILIAD est la maison mère du groupe du même nom. Elle détient à 100 % la société FREE (ci-après  » la société « ), qui exerce une activité d’opérateur de téléphonie fixe et comptait, au 31 décembre 2024, environ 7,6 millions d’abonnés fixes. En 2024, le chiffre d’affaires de la société ILIAD était de 10,024 milliards d’euros pour un résultat net de 367 millions d’euros.

2. La société FREE a été alertée le 21 octobre 2024, par un attaquant s’étant introduit dans le système d’information de la société FREE MOBILE, de la compromission de la confidentialité des données des abonnés des deux sociétés. A la suite de cette alerte, la société FREE a conduit des investigations qui ont permis de confirmer la survenance d’une violation de données (ci-après  » la violation de données en cause « ). Celle-ci a duré du 28 septembre au 22 octobre 2024.

3. Par l’intermédiaire de la société FREE MOBILE, la société FREE a notifié cette violation de données à la Commission nationale de l’informatique et des libertés (ci-après  » la Commission  » ou  » la CNIL « ), le 23 octobre 2024, puis a complété cette notification le 5 novembre 2024. Par ailleurs, elle a informé par courriel les personnes concernées de la survenance de la violation de données, de manière échelonnée entre le 24 et le 29 octobre 2024 afin de ne pas saturer les serveurs de messagerie.

4. Au jour de la notification du rapport de sanction, la CNIL avait reçu 2 614 plaintes de personnes concernées par cette violation de données.

5. Par décision n° 2024-205C du 6 novembre 2024, la Présidente de la Commission a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés  » ou  » LIL « ) et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le RGPD  » ou  » le Règlement « ), de tout traitement mis en œuvre par les sociétés FREE et FREE MOBILE.

6. En application de cette décision, le 8 novembre 2024, une délégation a procédé à une mission de contrôle sur place dans les locaux des sociétés FREE et FREE MOBILE sis 16 rue de la Ville L’Évêque à Paris (75008).

7. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 17 février 2025, désigné Monsieur Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.

8. Le 24 juillet 2025, la présidente de la Commission a décidé de disjoindre la procédure de sanction initialement intentée à l’égard des deux sociétés afin de les poursuivre dans le cadre de procédures distinctes. Afin de procéder à toutes diligences utiles dans le cadre de la procédure de sanction diligentée à l’encontre de la société FREE, la présidente de la CNIL a désigné Monsieur Fabien TARISSAN en qualité de rapporteur. Les sociétés FREE et FREE MOBILE ont été informées le 24 juillet 2025 être désormais poursuivies chacune dans le cadre de procédures de sanction distinctes.

9. A l’issue de son instruction, le rapporteur a fait notifier le 25 juillet 2025 à la société FREE un rapport détaillant les manquements aux articles 32 et 34 du RGPD qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et une injonction assortie d’une astreinte de mettre en conformité le traitement avec les dispositions de l’article 32 du RGPD. Il proposait également que cette décision soit rendue publique.

10. Le 15 septembre 2025, la société a produit des observations en réponse au rapport de sanction.

11. Le rapporteur a répondu aux observations de la société le 15 octobre 2025.

12. Le 17 novembre 2025, la société a produit ses secondes observations en réponse.

13. Par courrier du 18 novembre 2025, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 susvisé, informé la société et le président de la formation restreinte que l’instruction était close.

14. Par courrier du 18 novembre 2025, la société a été informée que le dossier était inscrit à l’ordre du jour de la séance de la formation restreinte du 4 décembre 2025.

15. Le 18 novembre 2025, la société a, par l’intermédiaire de son conseil, sollicité le report de la séance de la formation restreinte. Le 25 novembre 2025, le président de la formation restreinte a fait droit à cette demande de report et a informé la société de l’inscription du dossier à l’ordre du jour de la séance du 15 décembre 2025.

16. Le 3 décembre 2025, le président de la formation restreinte a refusé la demande de huis-clos formée par la société dans ses observations du 15 septembre 2025. Il a rappelé que la procédure devant la formation restreinte étant écrite et que si la société ne souhaitait pas dévoiler devant des tiers des éléments susceptibles de lui porter préjudice, elle pouvait, lors de la séance, renvoyer à ses observations écrites et annexes.

17. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. La violation de données en cause

18. Il résulte de l’enquête menée par la société FREE, à la suite de l’alerte reçue le 21 octobre 2024, que l’attaquant s’est d’abord connecté au réseau privé virtuel (ci-après  » VPN « ) de la société FREE MOBILE […].

19. L’attaquant s’est ensuite connecté à l’outil de gestion des abonnés de la société FREE MOBILE […]. Cet outil permet de consulter à la fois les données présentes dans la base de données des abonnés mobiles de la société FREE MOBILE, et dans la base de données des abonnés fixes de la société FREE lorsque les clients sont dits  » convergents  » (c’est-à-dire dans les cas où un client est un abonné à la fois de la société FREE MOBILE et de la société FREE). L’attaquant a ainsi pu accéder aux données à caractère personnel présentes dans la base de données  » fixe  » de la société FREE (données liées au contrat FREE, dont l’IBAN).

20. A partir du 6 octobre 2024, l’attaquant a exfiltré, au total, des données relatives à 24 633 469 contrats fixes et mobiles, dont 5 172 577 contrats fixes détenues par la société FREE.

III. Motifs de la décision

A. Sur la responsabilité de traitement de la société FREE

21. Aux termes de l’article 4, alinéa 7, du RGPD, le responsable de traitement est  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement « .

22. Dans son rapport, le rapporteur souligne que la délégation a été informée lors du contrôle que, dans le cadre de son activité d’opérateur de téléphonie fixe, la société FREE dispose de sa propre base de données d’abonnés fixes, qu’elle alimente avec les données de ses propres clients (données d’identité, coordonnées, données liées aux contrats, dont l’IBAN) et exploite au moyen de son outil de gestion de clientèle dénommé  » SIEBEL « . Les sociétés FREE et FREE MOBILE ont indiqué à la délégation être chacune responsable des traitements liés à la gestion de leur clientèle respective, ce qui correspond à ce qui est inscrit dans leurs registres. Le rapporteur n’a pas remis en cause cette qualification juridique dans le cadre de la présente procédure.

23. La société ne conteste pas être responsable du traitement relatif à la gestion de sa propre clientèle. Elle reproche cependant au rapporteur d’imputer indistinctement des manquements aux sociétés FREE et FREE MOBILE, sur la base des mêmes constats, sans prendre en compte leurs traitements et responsabilités respectifs.

24. La formation restreinte relève, à titre liminaire, que la violation de données a touché à la fois le système d’information de la société FREE et celui de la société FREE MOBILE, filiales du même groupe. Lors du contrôle de la CNIL au sein des deux sociétés, celles-ci étaient en partie représentées par les mêmes personnes (notamment, le président et le responsable réseau). Il a été constaté que certaines mesures de sécurité étaient communes aux deux sociétés […].

25. A l’issue de son instruction, le rapporteur a considéré, à l’instar des deux sociétés, que chacune d’elles met en œuvre un traitement relatif à la gestion de ses propres abonnés, à l’aide d’outils qui lui sont propres, dont chacune est responsable de traitement. Au regard des éléments du dossier, la formation restreinte partage cette position.

26. La formation restreinte observe que, compte tenu de la responsabilité particulière de chacune des deux sociétés, la présidente de la Commission a décidé, le 24 juillet 2025, d’engager deux procédures de sanction autonomes à l’encontre des sociétés FREE et FREE MOBILE. Ainsi, les deux sociétés répondent chacune des obligations relatives à leur propre système d’information.

27. La formation restreinte relève que le rapport de sanction à l’encontre de la société FREE fait état de manquements reprochés à cette dernière au regard du traitement relatif à la gestion des abonnés mobiles dont elle est seule responsable (ci-après dénommé  » traitement en cause « ). Il appartient à la formation restreinte d’examiner si les manquements allégués sont constitués et imputables à la société FREE, conformément au principe de responsabilité personnelle.

28. La formation restreinte rappelle qu’elle n’entend pas se prononcer sur la survenance de la violation de données en tant que telle mais bien sur le fait de déterminer si, la société a ou non manqué à ses obligations de moyens au titre du RGPD, en qualité de responsable du traitement.

29. Par conséquent, la formation restreinte écarte l’argument de la société, qui considère que des manquements sont indistinctement reprochés par le rapporteur aux sociétés FREE et FREE MOBILE sur la base de mêmes constats, sans prise en compte de leurs responsabilités individuelles respectives.

B. Sur le manquement à l’obligation d’assurer la sécurité des données en application de l’article 32 du RGPD

30. L’article 32, paragraphe 1, du RGPD dispose que  » compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque y compris entre autres, selon les besoins :

a) la pseudonymisation et le chiffrement des données à caractère personnel ;

b) des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;

c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ;

d) une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement […] « .

31. L’article 32, paragraphe 2, du RGPD prévoit que  » lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite « .

1. La portée de l’obligation de sécurité prévue à l’article 32 du RGPD et la prévisibilité du cadre juridique applicable

32. La société soutient que l’obligation de sécurité prévue à l’article 32 du RGPD est une obligation de moyens et pas de résultat, de sorte que la survenance d’une violation de données ne saurait suffire à caractériser un manquement à cet article.

33. Par ailleurs, la société considère, compte tenu de l’absence de caractère prescriptif de l’article 32 du RGPD et de valeur contraignante des guides et recommandations de la CNIL et de l’ANSSI, que la formation restreinte ne peut pas caractériser un manquement à l’article 32 du RGPD sur le fondement d’instruments de droit souple sans violer le principe de légalité des délits et des peines, qui exige que la règle méconnue soit suffisamment claire et prévisible dans son application. Elle ajoute ne pas avoir pu bénéficier de précédents qui lui auraient permis d’apprécier la nature des mesures qui était attendues en ce qu’elle serait le premier organisme, victime d’un acte de malveillance extérieur, visé par une procédure de sanction de la CNIL sur le fondement de l’article 32 du RGPD.

34. En premier lieu, la formation restreinte rappelle que l’obligation de sécurité prévue par l’article 32 du RGPD est effectivement une obligation de moyens, qui impose au responsable du traitement de prendre des mesures qui, au regard des caractéristiques du traitement en cause, permettent à la fois de réduire la probabilité de la survenance d’une violation de données et le cas échéant, d’en atténuer la gravité. Il n’est donc pas attendu que les mesures de sécurité permettent d’éliminer toute forme de risque et, la simple survenance d’une violation de données ne caractérise pas à elle seule un manquement à l’article 32 du RGPD.

35. Cette analyse a été confirmée par la CJUE dans son arrêt  » Agence nationale des recettes publiques de Bulgarie  » (14 décembre 2023, C/2024/1065, points 29 à 31). La formation restreinte relève que, dans cet arrêt, la CJUE a retenu que  » la référence, figurant à l’article 32, paragraphes 1 et 2, du RGPD, à  » un niveau de sécurité adapté au risque  » et à un  » niveau de sécurité approprié  » témoigne de ce que ce règlement instaure un régime de gestion des risques et qu’il ne prétend nullement éliminer les risques de violations des données à caractère personnel. Ainsi, il ressort des libellés des articles 24 et 32 du RGPD que ces dispositions se bornent à imposer au responsable du traitement d’adopter des mesures techniques et organisationnelles destinées à éviter, dans toute la mesure du possible, toute violation de données à caractère personnel. Le caractère approprié de telles mesures doit être évalué de manière concrète, en examinant si ces mesures ont été mises en œuvre par ce responsable en tenant compte des différents critères visés auxdits articles et des besoins de protection des données spécifiquement inhérents au traitement concerné ainsi qu’aux risques induits par ce dernier. Partant, les articles 24 et 32 du RGPD ne sauraient être compris en ce sens qu’une divulgation non autorisée de données à caractère personnel ou un accès non autorisé à de telles données par un tiers suffisent pour conclure que les mesures adoptées par le responsable du traitement concerné n’étaient pas appropriées, au sens de ces dispositions, sans même permettre à ce dernier d’apporter la preuve contraire « .

36. La CJUE a rappelé plus récemment que  » cette interprétation littérale est corroborée par une lecture combinée desdits articles 24 et 32 avec l’article 5, paragraphe 2, et l’article 82 dudit règlement, lus à la lumière des considérants 74, 76 et 83 de celui ci, dont il découle, en particulier, que le responsable du traitement est tenu d’atténuer les risques de violation des données à caractère personnel, et non d’empêcher toute violation de celles-ci  » (25 janvier 2024, C-687/21, point 39).

37. Dès lors, un manquement à l’obligation de sécurité peut être caractérisé indifféremment de l’existence d’une violation de données à caractère personnel.

38. La formation restreinte rappelle pouvoir sanctionner, non pas la survenance d’une violation de données, mais le fait que celle-ci a été rendue possible ou a été facilitée par l’absence ou l’insuffisance des mesures de sécurité mises en œuvre par un responsable du traitement, compte tenu de l’état de l’art. En ce sens, elle a déjà retenu, à plusieurs reprises, un manquement à l’article 32 du RGPD, compte tenu de l’absence ou de l’insuffisance des mesures de sécurité déployées qui a été exploitée par un attaquant dans le cadre d’une violation de données à caractère personnel (délibération n° SAN-2021-020 du 28 décembre 2021 § 61 ; délibération de la formation restreinte n° SAN-2020-014 du 7 décembre 2020 § 19 ; délibération de la formation restreinte n° SAN – 2019-005 du 28 mai 2019 § 31 ; délibération n° SAN-2018-011 du 19 décembre 2018). La formation restreinte considère que, bien que les mesures de sécurité visées dans ces précédents diffèrent du cas d’espèce, il n’en demeure pas moins que la société n’est pas la première visée par une procédure de sanction pour un manquement à l’article 32 du RGPD consécutif à une violation de données et qu’elle est responsable des mesures de sécurité qu’elle déploie pour assurer la protection des données qu’elle traite.

39. S’agissant de l’appréciation de l’obligation de moyens à laquelle est tenue le responsable de traitement, la CJUE considère que  » le caractère approprié de telles mesures techniques et organisationnelles doit s’apprécier en deux temps. D’une part, il convient d’identifier les risques de violation des données à caractère personnel induits par le traitement concerné et leurs éventuelles conséquences pour les droits et libertés des personnes physiques. Cette appréciation doit être conduite de manière concrète, en prenant en considération le degré de probabilité des risques identifiés et leur degré de gravité. D’autre part, il y a lieu de vérifier si les mesures mises en œuvre par le responsable du traitement sont adaptées à ces risques, compte tenu de l’état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités de ce traitement  » (14 décembre 2023, C 340/21, point 42).

40. Par conséquent, la formation restreinte n’entend pas sanctionner la violation de données en elle-même mais déterminer si, compte tenu de l’état des connaissances, des caractéristiques du traitement, de la probabilité et de la gravité des risques, ainsi que de la portée de l’obligation de sécurité précisées ci-dessus, la société FREE a respecté ses obligations au titre de l’article 32 du RGPD en mettant en place des mesures techniques et organisationnelles appropriées.

41. En second lieu, la formation restreinte relève que le principe de légalité des délits et des peines, rappelé par le Conseil constitutionnel en matière de sanction administrative (n° 88 248 DC, 17 janvier 1989), exige que les obligations et sanctions en cas de manquement aient été définis à l’avance.

42. Le Conseil d’État a précisé la portée de ce principe, qui implique que les éléments constitutifs des infractions soient définis de façon précise et complète (CE, 9 octobre 1996, Société Prigest, n° 170363, T. ; CE, Section, 12 octobre 2009, M. P., n° 311641, Rec.). En matière de sanctions administratives, la jurisprudence considère que  » l’exigence d’une définition des infractions sanctionnées se trouve satisfaite […] dès lors que les textes applicables font référence aux obligations auxquelles les intéressés sont soumis en raison de l’activité qu’ils exercent, de la profession à laquelle ils appartiennent, de l’institution dont ils relèvent ou de leur qualité  » et qu’une sanction peut être prononcé s’il est  » raisonnablement prévisible par les personnes concernées et en tenant compte de leur qualité et des responsabilités qu’elles exercent, que le comportement litigieux constitue un manquement à ces obligations  » (CE, 3 octobre 2018, SFCM, n° 411050, Rec.).

43. En l’espèce, la formation restreinte relève que, dans le cadre de ses écritures, le rapporteur s’attache notamment à caractériser la commission par la société d’un manquement aux obligations prévues à l’article 32 du RGPD, telles qu’éclairées par de nombreuses recommandations de la CNIL et de l’ANSSI, qui sont publiques et antérieures aux faits reprochés.

44. La formation restreinte rappelle que, si les recommandations de la Commission et de l’ANSSI n’ont certes pas de caractère impératif, elles précisent et illustrent les dispositions législatives et réglementaires applicables et éclairent les acteurs sur les mesures concrètes et conformes à l’état de l’art à mettre en œuvre.

45. Si c’est au seul regard des obligations prévues par l’article 32 du RGPD qu’un responsable de traitement peut être sanctionné, le Conseil d’Etat a néanmoins confirmé à plusieurs reprises que la formation restreinte de la CNIL pouvait retenir un manquement à l’article 32 du RGPD, caractérisé à la lumière de ses propres recommandations (CE, 11 mars 2015, Société Total Raffinage Marketing, n° 368748, n° 368819, pt 4 ; CE, 30 avril 2024, Commune de Beaucaire, n° 472864, pt 11).

46. Par conséquent, la formation restreinte relève que la société occupe une place significative dans le secteur des télécommunications en France et traite à ce titre les données de millions d’abonnés, et considère qu’elle dispose de moyens matériels, humains et techniques lui permettant d’assurer sa mise en conformité, d’adapter le cas échéant ses pratiques afin de respecter ses obligations au titre de l’article 32 du RGPD, telles qu’éclairées par les différentes recommandations de la CNIL et de l’ANSSI en matière de sécurité, qui existent depuis de nombreuses années.

47. Il résulte de ce qui précède que, dès lors que les éléments constitutifs du manquement à l’article 32 du RGPD reproché à la société sont définis de façon précise et complète, il ne peut être valablement soutenu que le prononcé d’une sanction méconnaîtrait le principe de légalité des délits et des peines.

48. La formation restreinte écarte donc le grief tiré de la méconnaissance du principe de légalité des délits et des peines.

2. Sur les risques du traitement pour les personnes concernées

Le rapporteur rappelle que la société doit assurer un niveau de sécurité, à l’égard des données à caractère personnel qu’elle traite, qui s’apprécie au regard des risques liés à la divulgation et à l’accès non autorisé de celles-ci, compte tenu des conséquences que pourrait avoir la survenance de tels risques pour les personnes concernées. En l’espèce, il souligne le caractère massif du traitement (données d’environ 7,6 millions d’abonnés fixes), ainsi que le caractère  » hautement personnel  » de certaines données (données bancaires), ce qui présente de forts risques pour les personnes concernées en cas d’atteinte à la confidentialité de ces données (usurpation de leur identité, tentative d’hameçonnage et exploitation frauduleuse de leurs coordonnées bancaires).

49. La société estime que le traitement qu’elle met en œuvre ne présente pas de risque élevé pour les personnes concernées en l’absence de données sensibles au sens de l’article 9 du RGPD.

50. Par ailleurs, elle soutient que la compromission des IBAN n’entraîne pas de risque particulier dès lors qu’un IBAN seul ne permet pas de réaliser un prélèvement frauduleux et que les établissements bancaires ont mis en place des mécanismes pour l’éviter (nécessité d’obtenir la signature d’un mandat SEPA avant tout prélèvement, délai de contestation et remboursement en cas de fraude).

51. En outre, la société estime que la recrudescence de violations de données ne permet pas d’imputer le préjudice allégué par certains plaignants (hameçonnage, etc.) à l’attaque dont elle a été victime, qui n’a dans ce contexte pas créé de risque supplémentaire pour les personnes concernées.

52. La formation restreinte rappelle que le considérant 75 du RGPD vise  » des risques pour les droits et libertés des personnes physiques, dont le degré de probabilité et de gravité varie, peuvent résulter du traitement de données à caractère personnel qui est susceptible d’entraîner des dommages physiques, matériels ou un préjudice moral, en particulier: lorsque le traitement peut donner lieu […] à un vol ou une usurpation d’identité, à une perte financière, […] ou lorsque le traitement porte sur un volume important de données à caractère personnel et touche un nombre important de personnes concernées « .

53. La formation restreinte relève qu’aux termes du considérant 76 du RGPD  » il convient de déterminer la probabilité et la gravité du risque pour les droits et libertés de la personne concernée en fonction de la nature, de la portée, du contexte et des finalités du traitement. Le risque devrait faire l’objet d’une évaluation objective permettant de déterminer si les opérations de traitement des données comportent un risque ou un risque élevé « .

54. Par ailleurs, le considérant 83 du RGPD précise que  » dans le cadre de l’évaluation des risques pour la sécurité des données, il convient de prendre en compte les risques que présente le traitement de données à caractère personnel, tels que la destruction, la perte ou l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière ou l’accès non autorisé à de telles données, de manière accidentelle ou illicite, qui sont susceptibles d’entraîner des dommages physiques, matériels ou un préjudice moral « .

55. En l’espèce, la formation restreinte relève, qu’au 31 décembre 2024, la société FREE comptait environ 7,6 millions d’abonnés fixes.

56. Par ailleurs, la formation restreinte observe que la société FREE permet à la société FREE MOBILE d’accéder, par l’intermédiaire de son outil de gestion de clientèle, aux données qu’elle détient concernant les clients qu’elle a en commun avec la société FREE MOBILE (cas des clients dit  » convergents  » précités), dont leurs coordonnées bancaires.

57. Compte tenu de sa qualité de responsable du traitement à l’égard du traitement relatif à la gestion des abonnés fixes, la formation restreinte estime que la société FREE est responsable de la sécurité des données contenues dans sa base de données des abonnés fixes, et donc de l’accès à ces données par la société FREE MOBILE.

[… passage central omis : décision trop longue pour une cellule …]

156. Le deuxième alinéa de l’article 22 de la loi Informatique et Libertés dispose ensuite que  » la formation restreinte peut rendre publique les mesures qu’elle prend « .

157. Le considérant 150 du RGPD prévoit que  » lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l’Union européenne « .

158. Les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679 précisent que la notion d’entreprise doit s’entendre comme  » une unité économique pouvant être formée par la société mère et toutes les filiales concernées. Conformément au droit et à la jurisprudence de l’Union, il y a lieu d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée « .

159. Dans un arrêt du 5 décembre 2023 (CJUE, grande chambre, C-807/21), la CUJE a considéré, s’agissant de la notion d’  » entreprise  » qu’  » ainsi que l’a relevé M. l’avocat général au point 45 de ses conclusions, c’est dans ce contexte spécifique du calcul des amendes administratives imposées pour des violations visées à l’article 83, paragraphes 4 à 6, du RGPD qu’il y a lieu d’appréhender le renvoi, effectué au considérant 150 de ce règlement, à la notion d’  » entreprise « , au sens des articles 101 et 102 TFUE. À cet égard, il convient de souligner que, aux fins de l’application des règles de la concurrence, visées par les articles 101 et 102 TFUE, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 6 octobre 2021, Sumal, C 882/19, EU:C:2021:800, point 41 et jurisprudence citée). Ainsi, il ressort de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives pour les violations énumérées dans ces paragraphes, que, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, le montant maximal de l’amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée. En définitive, ainsi que M. l’avocat général l’a relevé au point 47 de ses conclusions, seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire, et donc imposée par l’autorité de contrôle en se fondant, en ce qui concerne le montant de celle-ci, sur la notion d’unité économique au sens de la jurisprudence citée au point 56 du présent arrêt, est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive. Dès lors, lorsqu’une autorité de contrôle