AgentPublic/cnil huggingface dataset:
199. Dès lors, la formation restreinte considère que la société a commis un manquement à l’article 34 du RGPD en ne communiquant pas aux personnes concernées par la violation de données les informations nécessaires dès le premier niveau d’information.
IV. Sur les mesures correctrices
200. Aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 
201. 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;
215. En second lieu, la formation restreinte rappelle que la violation de données en cause, qui a notamment concerné les données de clients dits convergents, a été rendue possible ou a été facilitée par des vulnérabilités qui sont à la fois propres au système d’information de la société FREE MOBILE et propres à celui de la société FREE. Compte tenu de leurs responsabilités respectives à l’égard de leurs propres systèmes d’information, deux procédures de sanction distinctes ont été diligentées à l’encontre des deux sociétés. Dans le cadre de la procédure de sanction visant la société FREE MOBILE, la formation restreinte considère que celle-ci a commis un manquement à l’article 32 du RGPD, compte tenu des vulnérabilités propres à son système d’information (absence de sécurisation de la connexion au VPN, absence de moyens de détection des comportements suspects sur son VPN et son outil MOBO), qui ont été exploitées par l’attaquant lors de la violation de données en cause. Ces faits et leur imputation sont distincts de ceux imputés à la société FREE.
216. Dès lors, la formation restreinte considère ne pas méconnaitre le principe non bis in idem en sanctionnant deux personnes morales distinctes pour des faits distincts, ayant touché pour partie les mêmes données. 
217. Par conséquent, la formation restreinte écarte le grief tiré d’une méconnaissance du principe non bis in idem .
1. Sur le prononcé d’une amende administrative
220. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes. 
221. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’alinéa a) relatif à la gravité du manquement compte tenu de la nature, de la portée ou de la finalité du traitement, ainsi que du nombre de personnes affectées et du niveau de dommage qu’elles ont subi. 
222. La formation restreinte rappelle que les manquements commis ont concerné un nombre très important de personnes puisque, d’une part, la violation de données a concerné les données de plus de 24 millions de contrats d’abonnés et, d’autre part, la conservation injustifiée des données a concerné les données d’environ 15 millions de contrats. La formation restreinte observe que ce volume reflète la place centrale occupée par la société dans le secteur des télécommunications en France.
223. Par ailleurs, la formation restreinte a considéré que l’insuffisance des mesures de sécurité déployées par la société (l’authentification au VPN et la détection des comportements suspects) avait permis ou a facilité la survenance de la violation de données. Elle estime que le contexte de recrudescence de cyberattaques nécessite une attention particulière des responsables du traitement pour assurer la sécurité des données qu’ils traitent. En l’espèce, la violation de données a conduit à une surexposition des données et ainsi augmenté le risque d’utilisations frauduleuses. 
224. En outre, la formation restreinte relève que sur les 24 633 469 contrats concernés par la violation de données, seules 58 239 personnes ont appelé le numéro de téléphone gratuit mis à disposition par les sociétés FREE et FREE MOBILE et ont donc bénéficié d’informations complètes sur les conséquences probables de la violation et les mesures que les personnes peuvent prendre pour les éviter. Ce défaut de communication d’informations essentielles à un très grand nombre de personnes a significativement augmenté la survenance des risques exposés au point 2 de la présente délibération.
225. Enfin, la formation restreinte observe que la violation de données en cause a généré un nombre sans précédent de plaintes adressées à la CNIL, ce qui reflète la grande inquiétude des personnes concernées. La formation restreinte relève que l’imprécision des courriels de notification adressés en application de l’article 34 du RGPD n’a pu qu’alimenter la crainte et l’incertitude des personnes s’agissant des conséquences de la violation sur leur vie privée. 
226. Il résulte de ce qui précède que les manquements caractérisés à l’égard de la société sont particulièrement graves.
227. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.
230. Enfin, s’agissant du manquement à l’article 34 du RGPD, la société a fait preuve de négligence en ne portant pas à la connaissance des personnes concernées, dès le courriel de notification, les risques encourus par ces dernières, ainsi que les mesures qu’elles doivent prendre pour s’en prémunir alors même qu’elle les avait identifiés.
231. Par conséquent, la formation restreinte considère que les manquements en cause résultent de la négligence de la société. 
232. En troisième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2 du RGPD relatif aux circonstances aggravantes ou atténuantes applicables aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.
233. Outre le fait que le nombre d’abonnés a augmenté entre le dernier trimestre 2024 et le premier trimestre 2025, la formation restreinte relève que la société ne démontre pas le lien de causalité entre le préjudice subi du fait de la violation de données et une éventuelle perte de chiffre d’affaires qu’il conviendrait de prendre en compte en tant que circonstance atténuante.
B. Sur le prononcé d’une injonction
246. Dans son rapport initial, le rapporteur proposait à la formation restreinte de prononcer à l’encontre de la société une injonction de mettre en conformité le traitement avec les dispositions des articles 5-1-e) et 32 du RGPD, assortie d’une astreinte.
247. En défense, la société soutient que le prononcé d’une injonction est sans objet, dès lors qu’elle a déployé des mesures de mise en conformité en cours de procédure. 
248. La formation restreinte relève qu’au jour de la séance, la société n’a pas justifié de l’évolution de l’ensemble des pratiques mises en cause dans le cadre de la procédure de sanction diligentée à son encontre. Dès lors, elle considère qu’afin de s’assurer de la mise en conformité de la société s’agissant des manquements relevés aux articles 5-1-e) et 32 du RGPD, le prononcé d’une injonction apparait nécessaire. 
249. S’agissant du manquement à l’article 5-1-e) du RGPD, la formation restreinte considère que la société doit implémenter sa politique de durée de conservation des données, d’une part, en déployant un mécanisme de purge, au sein de sa base de données, concernant les données des clients des contrats résiliés depuis plus de dix ans, d’autre part, en réalisant un tri afin de conserver, à des fins d’obligations comptables, pendant dix ans, uniquement les données qui lui sont strictement nécessaires. 
250. […].
251. Par ailleurs, pour garantir le respect de cette injonction, la formation restreinte considère qu’au regard du chiffre d’affaires de la société et des moyens financiers, humains et techniques dont elle dispose pour remédier aux manquements constatés, il convient de prononcer une astreinte journalière d’un montant de 50 000 (cinquante mille) euros par jour de retard, liquidable à l’issue d’un délai de 6 (six) mois s’agissant de l’injonction relative à l’article 5-1-e) du RGPD et dans un délai de 3 (trois) mois s’agissant de l’injonction relative à l’article 32 du RGPD, à compter de la notification de la décision. 
C. Sur la publicité de la sanction
252. La société conteste la proposition du rapporteur de rendre publique la présente délibération, compte tenu notamment de la sensibilité des mesures de sécurité visées dans le cadre de la procédure de sanction. Elle estime que la divulgation de ces mesures dans une décision publique pourrait porter atteinte à la sécurité de son système d’information.
253. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements, ainsi que du nombre de personnes concernées. Elle estime que la publicité permettra notamment d’informer l’ensemble des personnes concernées par les manquements en cause sur la nature de la mesure correctrice prise par la formation restreinte de la Commission à l’encontre de la société. Elle considère toutefois nécessaire que certains développements contenus dans la présente délibération seront occultés.
254. Elle considère en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication. 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
- prononcer à l’encontre de la société FREE MOBILE, une amende administrative d’un montant de 27 000 000 (vingt-sept millions) d’euros au regard des manquements constitués aux articles 5-1-e), 32 et 34 du RGPD ;
- prononcer une injonction, à l’encontre de la société FREE MOBILE de mettre en conformité le traitement avec les dispositions des articles 5-1-e) et 32 du RGPD, et en particulier : 
o S’agissant du manquement à l’article 5-1-e) du RGPD, d’implémenter sa politique de durée de conservation des données, dans un délai de six mois, en effectuant :
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b ;
Vu la délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux "cookies et autres traceurs" ;
Après avoir entendu le rapport de Mme Laurence Franceschini, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement
 
Formule les observations suivantes :
 
C’est via une multitude d’équipements terminaux (ordinateur, ordiphone, télévision connectée, tablette, etc.) que se fait l’accès aux sites web ou aux applications mobiles. L'usage de divers terminaux conduit l’utilisateur à être confronté fréquemment à des demandes de consentement pour l'utilisation de cookies et autres traceurs. Dans ce contexte, certains acteurs du numérique cherchent à implémenter des solutions de consentement multi-terminaux (ou consentement cross-device), permettant de recueillir un consentement valable quel que soit le terminal utilisé.
La CNIL a en conséquence souhaité compléter sa recommandation du 17 septembre 2020 afin de clarifier les modalités pratiques des obligations des responsables de traitement qui souhaiteraient mettre en œuvre le recueil d’un consentement multi-terminaux en univers logué. Cet ajout rappelle les obligations posées par la règlementation et formule des recommandations pour s’y conformer.
 
Cette recommandation a pour objectif d’aider les professionnels concernés dans leur démarche de mise en conformité. Elle n’est ni prescriptive ni exhaustive.
 
Elle a été élaborée à la suite d’une concertation avec des représentants notamment des professions concernées par la publicité numérique ainsi qu’avec des représentants de la société civile. Elle a également fait l’objet d’une consultation publique du 24 avril au 5 juin 2025.
Article 1er
Périmètre de la recommandation
Le paragraphe 1-2 de l’article 1er de la recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux "cookies et autres traceurs" est remplacé par ce qui suit :
 
"1.2 – Environnements concernés
La présente recommandation tient particulièrement compte des configurations propres aux environnements web et aux applications mobiles. La présente recommandation peut cependant inspirer et guider l’élaboration d’interfaces dans d’autres contextes où le consentement prévu par l’article 82 de la loi "Informatique et Libertés" est requis : télévision connectée, console de jeux vidéo, assistant vocal, objets communicants, véhicule connecté, etc.
 
La recommandation concerne tant les environnements dans lesquels les utilisateurs sont authentifiés à un compte (parfois appelés "univers logués") que les univers où ils ne le sont pas ("univers non logués"). En effet, le fait que les utilisateurs soient authentifiés ne dispense pas de recueillir leur consentement conformément à l’article 82 de la loi "Informatique et Libertés", dès lors que des traceurs soumis au consentement sont utilisés.
 
Toutefois, l’article 7 relatif au consentement multi-terminaux concerne uniquement les univers dans lesquels les utilisateurs sont authentifiés et s’applique à l’ensemble des environnements (terminal, navigateur ou application) à partir desquels ils s’authentifient."
 
Article 2
L’article 7 devient l’article 8. Le nouvel article 7 est ainsi rédigé :
 
"Article 7 
Conditions nécessaires à la mise en œuvre d’un consentement multi-terminaux dans un univers logué
La mise en œuvre d’un dispositif de consentement multi-terminaux est facultative et ne constitue pas une obligation pour le responsable du traitement.
 
7.1 – Définition du consentement multi-terminaux et conditions de légalité 
 
Le consentement multi-terminaux est un mécanisme permettant d’appliquer les choix d'un utilisateur concernant la mise en œuvre d’opérations de lecture ou d’écriture d’informations à l’ensemble des environnements (les terminaux - ordinateur, tablette, ordiphone, télévision connectée, etc.-, le navigateur ou l’interface applicative utilisés) à partir desquels il accède à un site web ou une application mobile donnée, sans qu’il ait besoin de les répéter sur chacun de ces environnements. Dans le contexte des univers logués, ces choix ne sont plus rattachés à un terminal mais au compte de l’utilisateur associé à un site web ou à une application mobile. Lorsqu'un utilisateur y accède et exprime ses choix sur un appareil connecté à son compte, ils sont automatiquement appliqués aux autres environnements via lesquels il peut également se connecter (comme sa tablette, son ordinateur ou sa télévision connectée). L’utilisateur peut gérer les choix rattachés à son compte quel que soit le terminal utilisé.
Le consentement multi-terminaux, dans un univers logué, ne peut être mis en œuvre que dans les conditions juridiques rappelées dans les lignes directrices relatives à l’application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux "cookies et autres traceurs") et aux autres articles de la présente recommandation (notamment l’article 2, paragraphes 2-1, 2-3 et 2-4), ainsi qu’aux conditions suivantes.
 
En premier lieu, les choix formulés par l’utilisateur doivent avoir une portée identique pour assurer le respect des règles rappelées aux articles 2 et 3 de la recommandation. Ainsi, si le consentement peut être donné en une fois pour plusieurs terminaux, il doit en être de même pour le refus ou le retrait du consentement.
 
En second lieu, l’utilisateur doit être informé de la portée du consentement avant de pouvoir exercer son choix afin que celui-ci soit éclairé : l’information doit notamment préciser que les choix seront appliqués pour tous les terminaux sur lesquels l’utilisateur du compte est authentifié.
7.2 - Adapter l’information aux caractéristiques du consentement multi-terminaux 
 
L’information de l’utilisateur peut se faire, par exemple, par le biais de la fenêtre de recueil du consentement (aussi appelée consent management platform ou CMP), dès le premier niveau d’information.
L’information relative à la portée des choix effectués et la possibilité de les modifier devrait être rappelée immédiatement après l’authentification lorsqu’il s’agit d’un terminal qui n’a pas encore été relié au compte, à l’aide d’un bandeau éphémère d’information qui indique, le cas échéant, si les choix associés au compte ont été enregistrés ou modifiés.
 
7.3 - Gérer l’éventuelle contradiction entre les choix formulés en univers non logué et ceux enregistrés sur le compte
 
S’agissant des solutions pour gérer cette situation 
 
Lorsque des traceurs sont utilisés dans un univers non logué, un terminal sur lequel aucun choix n’est enregistré (lors d’une première visite sur le site via le terminal en question ou quand les traceurs précédemment déposés sur ce terminal ont été effacés) va afficher une fenêtre de recueil du consentement. Or, via cette fenêtre, l’utilisateur est susceptible, avant de s’authentifier, d’exprimer et d’enregistrer sur son terminal des choix différents de ceux enregistrés sur son compte. Il appartient au responsable de traiter cette situation d’une façon qui soit claire et loyale vis-à-vis de l’utilisateur.
 
La CNIL identifie deux modalités principales qui permettent de résoudre cette contradiction :
Modalité 1 : les choix formulés sur le nouveau terminal avant l’authentification au compte (c’est-à-dire au niveau de la dernière fenêtre de recueil du consentement affichée) écrasent ceux enregistrés précédemment au sein du compte. Les nouveaux choix enregistrés s’appliqueront à l’ensemble des autres terminaux connectés au compte, ce qui présente l’avantage d’assurer que le dernier choix exprimé par l’utilisateur est pris en compte, indépendamment du terminal.
 
Modalité 2 : les choix enregistrés au sein du compte prévalent sur les choix formulés sur le nouveau terminal avant l’authentification au compte (c’est-à-dire au niveau de la dernière fenêtre de recueil du consentement affichée). Pour être effectif, cette modalité suppose de distinguer le suivi de navigation de l’utilisateur selon qu’il est logué ou non (par exemple via deux cookies et/ou identifiants différents).
 
La CNIL encourage les acteurs concernés à faire émerger une unique modalité afin de faciliter la compréhension par les utilisateurs du dispositif, quel que soit l’application mobile ou le site web visité.
 
S’agissant de l’information spécifique à la gestion des contradictions
L’information doit être adaptée au contexte dans lequel elle apparaît (utilisateur authentifié ou non, contradiction entre les choix, etc.) afin de limiter les risques de confusion pour l’utilisateur. Une fois authentifié, l’utilisateur doit être informé, de manière claire, de la contradiction entre les choix qui viennent d’être formulés et ceux déjà associés au compte. L’information donnée doit alors indiquer :
 
pour la modalité 1, si les choix associés au compte ont été enregistrés ou modifiés, comme il est mentionné au 7.2 ;
pour la modalité 2, l’existence d’une contradiction entre les derniers choix exprimés et ceux qui étaient déjà associés au compte, ainsi que le fait que ces derniers continueront de s’appliquer au sein du compte.
 
Quelle que soit la modalité, l’information doit préciser les moyens à la disposition de l’utilisateur pour modifier ses choix, ce qui peut prendre la forme d’un bandeau éphémère qui peut être le même que celui visé au paragraphe 7.2 de la recommandation sous réserve d’une information adaptée et spécifique à la gestion des contradictions.
 
7.4 - Sur l’interaction avec l’univers non logué
 
Dans le cadre d’un dispositif de consentement multi-terminaux, les choix de l’utilisateur en univers logué ne doivent pas avoir d’impact sur les choix préalablement enregistrés en univers non logué (par exemple via un cookie déposé au sein d’un navigateur).
Ainsi, dans le cas de terminaux partagés entre plusieurs utilisateurs (par exemple, un ordinateur familial ou une télévision connectée au sein d’un foyer), les choix individuels associés à un compte donné (éventuellement exprimés sur un autre terminal individuel) ne doivent pas impacter l’ensemble des utilisateurs du terminal partagé lorsqu’ils ne sont pas authentifiés par ce même compte (navigation en univers non logué).
 
7.5 – Minimiser les données transmises en cas de recours à un sous-traitant
 
Dans le cadre de la mise en place d’un dispositif de consentement multi-terminaux, une attention devrait être portée aux données à caractère personnel échangées avec un prestataire qui pourrait intervenir dans le traitement de données.
 
En particulier, la CNIL recommande, conformément aux principes de minimisation et de protection des données dès la conception et la protection des données par défaut (article 25 du RGPD), de ne pas transmettre l’identifiant de compte de l’utilisateur dans la mesure où il contient en clair des données à caractère personnel fournies par l’utilisateur (par exemple, un pseudonyme contenant le prénom, voire le nom, ou une adresse de courrier électronique) au prestataire de la plateforme de gestion du consentement. Elle recommande de lui substituer systématiquement un identifiant technique pour lui permettre notamment de réconcilier les différents terminaux de l’utilisateur.
 
7.6 – Évolution vers un mécanisme de consentement multi-terminaux
Lorsque le recueil du consentement se traduit en un mécanisme de consentement multi-terminaux pour un site web ou une application mobile, les responsables de traitement devront recueillir un nouveau consentement libre, spécifique, éclairé et univoque. En effet, le consentement exprimé sur un terminal donné préalablement au passage à une gestion du consentement multi-terminaux ne pourra pas être considéré valide pour d’autres terminaux, l’utilisateur n’ayant pas été informé de la portée multi-terminaux du consentement exprimé.
 
7.7 – Bonne pratique : permettre à l’utilisateur de faire des choix distincts par terminal
 
A titre de bonne pratique, la CNIL encourage le responsable du traitement à laisser à l’utilisateur la possibilité de revenir sur ses choix, terminal par terminal, afin d’avoir la possibilité de différencier ses usages et la gestion de ses données à caractère personnel en fonction des contextes dans lesquels il accède au service et, donc, des terminaux qu’il utilise.
 
En pratique, cette possibilité pourrait être accessible, par exemple, au niveau du panneau de configuration qui permet la gestion et le retrait du consentement associé au compte au travers d’un centre de préférences."