L'autorité de protection des données française (CNIL) a publié deux décisions de sanction à l'encontre des sociétés FREE MOBILE et FREE, comprenant le prononcé d'amendes d'un montant total de 42 000 000 €, pour des manquements en lien avec la sécurité des données de leurs abonnés.
Cette affaire débute par un très grand nombre de plaintes de personnes concernées par une violation de données survenue en octobre 2024.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité des données personnelles (article 32 du RGPD) : L'autorité a relevé que les sociétés n'avaient pas mis en œuvre des mesures de sécurité élémentaires, notamment une procédure d'authentification suffisamment robuste pour l'accès à leur réseau privé virtuel (VPN) et des mesures efficaces pour détecter les comportements anormaux sur leur système d'information. Elle a conclu que les mesures de sécurité déployées n'étaient pas adaptées au regard du nombre et de la nature des données traitées.

* Obligation de communiquer une violation de données aux personnes concernées (article 34 du RGPD) : Bien que les sociétés aient informé les personnes concernées par courriel, l'autorité a estimé que cette communication ne contenait pas toutes les informations requises par le paragraphe 2 de l'article 34 du RGPD. Ces omissions n'ont pas permis aux personnes de comprendre directement les conséquences de la violation et les mesures à prendre pour s'en protéger.

* Obligation de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : Il a été constaté que la société FREE MOBILE n'avait pas mis en place de mesures pour trier les données des anciens abonnés et les supprimer à l'échéance de leur durée de conservation. L'autorité a conclu que des millions de données d'abonnés étaient conservées sans justification pendant une durée excessive.

En conséquence, l’autorité a imposé une amende de 27 000 000 € à la société FREE MOBILE et de 15 000 000 € à la société FREE.
En outre, l’autorité a enjoint aux sociétés d'achever la mise en œuvre de leurs nouvelles mesures de sécurité dans un délai de trois mois, et a ordonné à la société FREE MOBILE de finaliser le tri et la purge des données dans un délai de six mois.