L’opérateur français Free et sa filiale Free Mobile ont été sévèrement sanctionnés par la CNIL (Commission nationale de l’informatique et des libertés) à la suite d’une fuite de données personnelles d’une ampleur exceptionnelle. Cette décision, rendue en janvier 2026, marque l’un des épisodes les plus marquants de l’année pour la protection des données en France.
💶 Une amende record de 42 millions d’euros
La CNIL a infligé une amende totale de 42 millions d’euros aux deux entités du groupe :
- 27 millions d’euros pour Free Mobile
- 15 millions d’euros pour Free en tant que société mère.
Cette sanction fait suite à un manquement grave aux obligations de sécurité des données personnelles imposées par le Règlement général sur la protection des données (RGPD).
🕵️♂️ Que s’est‑il passé ?
L’affaire remonte à octobre 2024, lorsqu’un pirate informatique a réussi à s’introduire dans les systèmes internes de Free via un outil de gestion du réseau. Cette intrusion a permis d’accéder aux données sensibles d’environ 24 millions d’abonnés, dont notamment des informations d’identification personnelle, des coordonnées bancaires (IBAN) et d’autres éléments contractuels des clients.
La fuite a été rendue publique au fil des mois suivants, et plusieurs échantillons des données compromises ont même circulé sur des forums clandestins du web.
⚖️ Manquements pointés par la CNIL
La décision de sanction repose sur plusieurs violations du RGPD et des obligations de sécurité :
🔐 Sécurité insuffisante
Les autorités ont constaté que Free et Free Mobile n’avaient pas mis en place des mesures de sécurité de base adaptées pour protéger les données de millions d’abonnés, notamment :
- une authentification VPN trop faible, utilisée par les employés pour accéder aux systèmes,
- une surveillance et une détection des comportements anormaux inefficaces.
📝 Gestion de la fuite
La CNIL a également critiqué la manière dont l’entreprise a communiqué sur l’incident, estimant que les notifications aux personnes concernées n’étaient pas suffisamment claires ni complètes, ce qui a pu retarder la prise de mesures de protection par les victimes.
📦 Conservation des données
De nombreuses informations appartenant à d’anciens abonnés avaient été conservées inutilement, ce qui constitue une violation des règles de minimisation et de durée de conservation prévues par le RGPD.
😨 Réactions des abonnés et conséquences
La révélation de cette fuite a suscité un fort mécontentement parmi les clients de Free. Beaucoup ont signalé une vague d’appels frauduleux, de tentatives de phishing et d’escroqueries utilisant certaines des données compromises. Pour certains abonnés, la peur de voir leurs informations personnelles exploitées à des fins malveillantes reste très vive, même plusieurs mois après l’incident.
Malgré l’ampleur des données compromises, l’amende versée à l’État ne sert pas à indemniser directement les victimes, ce qui a été pointé du doigt par de nombreux consommateurs.
🛠️ Mesures correctives exigées
Outre le paiement de l’amende, la CNIL a imposé des mesures correctives strictes :
- Free doit renforcer ses systèmes de sécurité dans un délai de trois mois, notamment améliorer la gestion des accès et les mécanismes d’authentification.
- Free Mobile doit finaliser le tri et la suppression des anciennes données qu’il n’a plus le droit de conserver dans un délai de six mois.
Ces injonctions visent à empêcher qu’une telle catastrophe ne se reproduise, après que l’enquête a clairement montré que des mesures préventives efficaces auraient pu rendre cette attaque bien plus difficile, voire impossible.
🧠 Ce que ça signifie pour la sécurité des données
Cette affaire Free met en lumière plusieurs enjeux cruciaux :
- la responsabilité accrue des entreprises en matière de cyber‑sécurité,
- l’importance du RGPD, qui peut conduire à des sanctions financières très lourdes en cas de manquement,
- et le fait que les données personnelles peuvent être exploitées longtemps après une fuite, notamment pour des arnaques ou du vol d’identité.
Pour les abonnés, cela rappelle l’importance de surveiller ses comptes bancaires, d’activer des protections contre le phishing et de rester vigilant face aux communications suspectes.
🧩 En résumé
L’amende de 42 millions d’euros infligée à Free et Free Mobile suite à la fuite des données de plus de 24 millions de clients constitue l’un des plus gros rappels à l’ordre en matière de protection des données en France.
Avec des mesures correctives imposées et une surveillance accrue du secteur, la décision devrait inciter d’autres entreprises à renforcer dès maintenant leurs défenses numériques.
