AgentPublic/cnil huggingface dataset:
180. Par conséquent, la formation restreinte considère que les manquements en cause résultent de la négligence de la société.
181. En troisième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa g) de l’article 83, paragraphe 2 du RGPD relatif aux catégories de données à caractère personnel concernées par le manquement.
182. La formation restreinte relève que la société FREE MOBILE traite des données " hautement personnelles " (données bancaires) auxquelles l’attaquant a accédé en l’espèce. La société aurait dû faire preuve d’une grande vigilance en implémentant des mesures permettant d’assurer la sécurité de l’accès à ces données, compte tenu du risque que présente leur perte de confidentialité pour les personnes concernées (prélèvement frauduleux).
183. En quatrième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2 du RGPD relatif aux circonstances aggravantes ou atténuantes applicables aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.
184. Outre le fait que le nombre d’abonnés a augmenté entre le dernier trimestre 2024 et le premier trimestre 2025, la formation restreinte relève que la société ne démontre pas le lien de causalité entre le préjudice subi du fait de la violation de données et une éventuelle perte de chiffre d’affaires qu’il conviendrait de prendre en compte en tant que circonstance atténuante.
185. Par ailleurs, s’agissant de la communication effectuée par la CNIL aux plaignants, la formation restreinte rappelle qu’elle s’inscrit dans le cadre de l’article 8-I-2-d) de la loi Informatique et Libertés modifiée, qui prévoit une obligation pour la Commission d’informer l’auteur d’une réclamation de l’issue de l’enquête (décision de sa Présidente de procéder à la clôture de la procédure de contrôle, et le cas échéant celle de la réclamation, ou d’engager une procédure de sanction). En l’espèce, la saisine de la formation restreinte et la désignation d’un rapporteur marquent la fin de la phase d’enquête au sens de l’article précité et il convenait donc d’en informer l’auteur de la réclamation. La formation restreinte précise que le contenu de l’information communiquée aux plaignants ne comportait pas d’informations couvertes par le secret dès lors qu’il n’est pas fait mention des manquements reprochés ni de la mesure correctrice proposée par le rapporteur.
186. La formation restreinte rappelle également que, compte tenu de son impartialité et de son indépendance, elle n’est pas liée par les demandes formulées par le rapporteur dans le cadre d’une procédure de sanction en cours. Dès lors, la décision de la présidente de la CNIL d’engager une procédure de sanction à l’encontre de la société ne préjuge pas de la décision qui sera rendue par les membres de la formation restreinte, ce que rappelait d’ailleurs le courrier d’information adressé par les services de la Commission aux plaignants.
187. En outre, s’agissant de la communication réalisée par la Commission sur son site web, la formation restreinte observe que, l’article intitulé " Fuite de données et vol de votre IBAN : comment vous protéger si vous êtes concerné ? " publié sur le site web de la CNIL le 8 août 2025 rappelle les risques encourus par les personnes concernées en cas d’usurpation de leur IBAN et formule des conseils pour s’en prémunir. La formation restreinte relève que cet article ne mentionne pas la société. La seule communication de la CNIL qui mentionne la société, comme victime d’une violation de données au même titre que d’autres acteurs également cités, s’intitule " Violations massives de données en 2024 : quels sont les principaux enseignements et mesures à prendre ? " et date du 28 janvier 2025. D’une part, la formation restreinte note que cet article ne comporte aucune information couverte par le secret de l’enquête (par exemple, le périmètre du contrôle, les manquements constatés), qui était en cours au moment de sa publication, ni aucun jugement de valeur sur la société. Cet article vise qu’à sensibiliser les organismes, dans un contexte de recrudescence de violations de données, aux modes opératoires utilisés par les attaquants, qui exploitent régulièrement les mêmes vulnérabilités. D’autre part, la formation restreinte observe qu’à la date de publication de cet article, la violation de données dont a été victime la société était déjà publique dès lors qu’elle avait été relayée
sur le site web cybermalveillance.gouv.fr, ainsi que dans la presse.
188. Par conséquent, la formation restreinte estime que les communications de la CNIL ne sont pas de nature à constituer une circonstance atténuante.
189. En conséquence, la formation restreinte estime, au vu de l’ensemble de ces éléments et au regard des critères fixés à l’article 83 du RGPD, qu’il y a lieu de prononcer une amende administrative au titre des manquements en cause.
2. Sur le montant de l’amende administrative
190. En défense, la société soutient que le montant de l’amende proposé par le rapporteur est disproportionné au regard des décisions antérieures de la formation restreinte. Elle ajoute qu’en prononçant une amende particulièrement élevée, la formation restreinte enverrait un mauvais signal aux autres responsables de traitement victimes d’une violation de données, qui pourraient décider ne pas porter à la connaissance de la Commission la survenance d’une violation de données et céder aux exigences des attaquants.
191. La formation restreinte relève d’abord que le manquement relatif aux articles 32 et 34 du RGPD sont, susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 10 000 000 euros et jusqu’à 2 % du chiffre d’affaires annuel, le montant le plus élevé étant retenu. Elle rappelle que les amendes administratives doivent être dissuasives et proportionnées.
192. Elle considère ensuite qu’il convient de recourir à la notion d’ " entreprise " en droit de la concurrence, en vertu de la référence directe et explicite opérée à cette notion par le considérant 150 du RGPD ainsi que par les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679. Elle souligne en effet que dans des arrêts rendus au titre du RGPD, la CJUE a confirmé que la notion d’ " entreprise " contenue à l’article 83 du RGPD devait bien s’appréhender au regard du droit de la concurrence, régit par les articles 101 et 102 du TFUE (CJUE, grande chambre, 5 décembre 2023, C-807/21 et CJUE, cinquième chambre, 13 février 2025, C-383/23).
193. S’agissant de ce que recouvre la notion d’" entreprise ", la formation restreinte relève que dans son arrêt précité du 5 décembre 2023, la CJUE retient qu’une entreprise est une unité économique, même si du point de vue juridique cette unité économique est constituée de plusieurs personnes morales. La CJUE précise qu’à l’instar du droit de la concurrence (Cour de Cassation, ch. com., 7 juin 2023, pourvoi n° 22-10.545 ; Autorité de la concurrence, décisions n° 21-D-10 du 3 mai 2021 et n° 21-D-28 du 9 décembre 2021), lorsqu’une filiale est détenue directement ou indirectement à 100% par sa maison mère, il existe une présomption réfragable selon laquelle la maison mère exerce une influence déterminante sur le comportement de la société. Pour déterminer le montant de l’amende envisagée, et qu’il corresponde à la capacité économique réelle de son destinataire, il convient alors, selon les deux arrêts précités, si les deux sociétés peuvent matériellement être regardées comme relevant de la même unité économique, de prendre en compte le chiffre d’affaires de la maison mère afin que l’amende soit effective, proportionnée et dissuasive.
194. En l’espèce, la formation restreinte rappelle que la société ILIAD détient à 100 % la société FREE et considère ainsi, à l’instar du droit de la concurrence, qu’il existe une présomption selon laquelle la société ILIAD exerce une influence déterminante sur le comportement de la société FREE sur le marché (CJUE, grande chambre, 5 décembre 2023, C-807/21 ; également CJUE, troisième chambre, 10 septembre 2009, Akzo C 97/08 P, paragraphes 58 à 61. Voir également, pour l’application de la présomption d’influence déterminante en cas de détention en chaîne : CJUE, Eni c/ Commission, 8 mai 2013 (C-508/11 P, § 48). Par conséquent, les sociétés ILIAD et FREE constituent une seule entité économique et forment donc une seule entreprise au sens de l’article 101 du TFUE.
195. Compte tenu de ce qui précède, la formation restreinte considère qu’il y a lieu de retenir le chiffre d’affaires de l’entreprise au sens d’ " unité économique ", à savoir celui de la maison mère du groupe. Elle rappelle qu’en 2024 le chiffre d’affaires de la société ILIAD était de 10,024 milliards d’euros pour un résultat net de 367 millions d’euros. La formation restreinte observe qu’au premier trimestre 2025, le chiffre d’affaires de la société ILIAD est de 2,5 milliards d’euros, dont 1,6 milliards provient de ses filiales françaises, dont la société FREE. La formation restreinte relève également que le chiffre d’affaires de la société ILIAD, au premier trimestre 2025, est en hausse de 4,3% par rapport au premier trimestre de l’année précédente.
196. S’agissant du montant de l’amende, la formation restreinte rappelle qu’il doit être proportionné et dissuasif, au regard des responsabilités et capacités financières de l’organisme mis en cause et des critères pertinents de l’article 83 du RGPD. Dès lors, le montant d’une amende est déterminé en fonction de chaque cas d’espèce. La formation restreinte relève notamment, en l’espèce, les ressources humaines, techniques et financières dont dispose la société pour respecter ses obligations au titre de la règlementation relative à la protection des données à caractère personnel, ainsi que le nombre particulièrement élevé de données et de personnes concernées par la violation de données (dont des données concernant 7,6 millions de contrats FREE) et les manquements en cause. Compte tenu de ce qui précède, la formation restreinte considère qu’apparait adapté de prononcer à l’encontre de la société FREE une amende administrative d’un montant de 15 000 000 (quinze millions) d’euros, au regard des manquements constitués aux articles 32 et 34 du RGPD. Contrairement à ce que soutient la société, la formation restreinte considère que le prononcé de cette amende n’entraînera pas une absence de notification auprès de la Commission par d’autres responsables de traitement victimes d’une violation de données. La formation restreinte rappelle à cet égard que la notification d’une violation de données présentant un risque pour les droits et libertés des personnes à la CNIL constitue une
B. Sur le prononcé d’une injonction
197. Dans son rapport initial, le rapporteur proposait à la formation restreinte de prononcer à l’encontre de la société une injonction de mettre en conformité le traitement avec les dispositions de l’article 32 du RGPD, assortie d’une astreinte.
198. En défense, la société soutient que le prononcé d’une injonction est sans objet, dès lors qu’elle a déployé des mesures de mise en conformité en cours de procédure.
199. La formation restreinte relève qu’au jour de la séance, la société n’a pas justifié de l’évolution de l’ensemble des pratiques mises en cause dans le cadre de la procédure de sanction diligentée à son encontre. Dès lors, elle considère qu’afin de s’assurer de la mise en conformité de la société s’agissant du manquement relevé à l’article 32 du RGPD, le prononcé d’une injonction apparait nécessaire.
200. La formation restreinte estime que la société doit adopter des mesures de sécurité appropriées […].
201. Par ailleurs, pour garantir le respect de cette injonction, la formation restreinte considère qu’au regard du chiffre d’affaires de la société et des moyens financiers, humains et techniques dont elle dispose pour remédier aux manquements constatés, il convient de prononcer une astreinte journalière d’un montant de 25 000 (vingt-cinq mille) euros par jour de retard, liquidable à l’issue d’un délai de 3 (trois) mois à compter de la notification de la décision.
C. Sur la publicité de la sanction
202. La société conteste la proposition du rapporteur de rendre publique la présente délibération, compte tenu notamment de la sensibilité des mesures de sécurité visées dans le cadre de la procédure de sanction. Elle estime que la divulgation de ces mesures dans une décision publique pourrait porter atteinte à la sécurité de son système d’information.
203. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements, ainsi que du nombre de personnes concernées. Elle estime que la publicité permettra notamment d’informer l’ensemble des personnes concernées par les manquements en cause sur la nature de la mesure correctrice prise par la formation restreinte de la Commission à l’encontre de la société. Elle considère toutefois nécessaire que certains développements contenus dans la présente délibération seront occultés.
204. Elle considère en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication.  
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer à l’encontre de la société FREE, une amende administrative d’un montant de 15 000 000 (quinze millions) d’euros au regard des manquements constitués aux articles 32 et 34 du RGPD ;
- prononcer une injonction, à l’encontre de la société FREE, de mettre en conformité le traitement avec les dispositions de l’article 32 du RGPD, et en particulier de mettre en œuvre les mesures techniques et organisationnelles appropriées, dans un délai de trois mois, afin de garantir un niveau de sécurité adapté au risque, notamment :
• […] ;
• […] ;
- assortir l’injonction d’une astreinte de 25 000 (vingt-cinq mille) euros par jour de retard, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans le délai précité ;
- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Philippe-Pierre CABOURDIN
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
Les développements de la délibération comportant des données à caractère personnel ou des secrets protégés par la loi sont remplacés par le signe […] 
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. KLING, membres, 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ; 
Vu la décision n° 2024-205C du 6 novembre 2024 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 17 février 2025 ;
Vu le rapport de M. Tarissan, commissaire rapporteur, notifié à la société le 25 juillet 2025 ;
Vu les observations écrites de la société FREE MOBILE reçues le 15 septembre 2025 ;
Vu la réponse du rapporteur notifiée à la société FREE MOBILE le 15 octobre 2025 ; 
Vu les observations écrites de la société FREE MOBILE reçues le 17 novembre 2025 ;
 
Vu la clôture de l’instruction notifiée à la société FREE MOBILE le 18 novembre 2025 ;
Vu la demande de huis-clos formulée le 15 septembre 2025 et refusée le 3 décembre 2025 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 15 décembre 2025 ;
Vu la note en délibéré produite par la société le 19 décembre 2025 ;
Vu les autres pièces du dossier, 
Étaient présents, lors de la séance de la formation restreinte du 15 décembre 2025 :
- Monsieur Tarissan, commissaire, entendu en son rapport ;
En qualité de représentants de la société FREE MOBILE : 
- […]
Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que le mis en cause peut, s’il le souhaite, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte.
La société FREE MOBILE ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier.
Après en avoir délibéré, a adopté la décision suivante :
I. Faits et procédure
1. Le groupe ILIAD, spécialisé dans les télécommunications en Europe, compte plus de 50,2 millions d’abonnés. La société française ILIAD est la maison mère du groupe du même nom. Elle détient à 100 % la société FREE MOBILE (ci-après la société ), qui exerce une activité d’opérateur de téléphonie mobile et comptait, au 31 décembre 2024, environ 15,5 millions d’abonnés mobiles. En 2024, le chiffre d’affaires de la société ILIAD était de 10,024 milliards d’euros pour un résultat net de 367 millions d’euros.
 
2. La société FREE MOBILE a été alertée le 21 octobre 2024, par un attaquant s’étant introduit dans son système d’information, de la compromission de la confidentialité des données de ses abonnés (y compris d’abonnés convergents c’est-à-dire à la fois clients de la société FREE MOBILE et de la société FREE). A la suite de cette alerte, la société a conduit des investigations qui ont permis de confirmer la survenance d’une violation de données (ci-après la violation de données en cause ). Celle-ci a duré du 28 septembre au 22 octobre 2024.
7. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 17 février 2025, désigné Monsieur Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.
8. Le 24 juillet 2025, la présidente de la Commission a informé les sociétés FREE MOBILE et FREE de sa décision de disjoindre la procédure de sanction initialement intentée à l’égard des deux sociétés, chacune de celles-ci étant désormais poursuivies dans le cadre d’une procédure distincte. 
9. A l’issue de son instruction, le rapporteur a fait notifier le 25 juillet 2025 à la société FREE MOBILE un rapport détaillant les manquements aux articles 5-1-e), 32 et 34 du RGPD qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et une injonction assortie d’une astreinte de mettre en conformité le traitement avec les dispositions des articles 5- 1- e) et 32 du RGPD. Il proposait également que cette décision soit rendue publique.
10. Le 15 septembre 2025, la société a produit des observations en réponse au rapport de sanction. 
11. Le rapporteur a répondu aux observations de la société le 15 octobre 2025.
12. Le 17 novembre 2025, la société a produit ses secondes observations en réponse.
13. Par courrier du 18 novembre 2025, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 susvisé, informé la société et le président de la formation restreinte que l’instruction était close. 
14. Par courrier du 18 novembre 2025, la société a été informée que le dossier était inscrit à l’ordre du jour de la séance de la formation restreinte du 4 décembre 2025.
15. Le 18 novembre 2025, la société a, par l’intermédiaire de son conseil, sollicité le report de la séance de la formation restreinte. Le 25 novembre 2025, le président de la formation restreinte a fait droit à cette demande de report et a informé la société de l’inscription du dossier à l’ordre du jour de la séance du 15 décembre 2025. 
16. Le 3 décembre 2025, le président de la formation restreinte a refusé la demande de huis-clos formée par la société dans ses observations du 15 septembre 2025. Il a rappelé que la procédure devant la formation restreinte étant écrite et que si la société ne souhaitait pas dévoiler devant des tiers des éléments susceptibles de lui porter préjudice, elle pouvait, lors de la séance, renvoyer à ses observations écrites. 
17. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. La violation de données en cause
18. Il résulte de l’enquête menée par la société FREE MOBILE, à la suite de l’alerte reçue le 21 octobre 2024, que l’attaquant s’est d’abord connecté à son réseau privé virtuel (ci-après VPN ) […] 
19. L’attaquant s’est ensuite connecté à l’outil de gestion des abonnés de la société, […]. Cet outil permet de consulter les données relatives à la relation commerciale des clients de la société FREE MOBILE. Il ne donne pas directement accès aux données brutes mais propose une fonctionnalité recherche à travers un formulaire à remplir (par exemple, saisie d’un nom ou d’un numéro d’abonné). Une fois la recherche lancée, le système interroge la base de données des abonnés mobiles de la société FREE MOBILE, mais également celle des abonnés fixes de la société FREE lorsque les clients sont dits convergents (dans les cas où un client est un abonné à la fois de la société FREE MOBILE et de la société FREE). Le système renvoie uniquement les résultats correspondant à la recherche en les affichant grâce à la fonction consultation . C’est donc cette dernière qui permet d’afficher à l’écran de l’utilisateur les données à caractère personnel spécifiques d’un client à la suite d’une recherche . 
20. Une fois connecté à l’outil MOBO, l’attaquant a ainsi pu accéder aux données à caractère personnel d’abonnés de la société, à savoir leurs données d’identité, leurs données de contact, leurs données contractuelles et, pour les clients dits convergents , leur IBAN.
21. Au total, l’attaquant a pu prendre connaissance, des données concernant 24 633 469 contrats, dont 19 460 891 contrats mobiles (FREE MOBILE) et 5 172 577 contrats fixes (FREE). 
III. Motifs de la décision
A. Sur la responsabilité de traitement de la société FREE MOBILE
22. Aux termes de l’article 4, alinéa 7, du RGPD, le responsable de traitement est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement .
23. Dans son rapport, le rapporteur souligne que la délégation a été informée lors du contrôle que, dans le cadre de son activité d’opérateur de téléphonie mobile, la société FREE MOBILE dispose de sa propre base de données d’abonnés mobiles, qu’elle alimente avec les données de ses propres clients. Son outil de gestion de clientèle MOBO lui permet d’accéder à sa base de données, ainsi qu’à la base de données d’abonnés fixes gérée par la société FREE pour les clients dits convergents . Lors du contrôle, les sociétés FREE MOBILE et FREE ont indiqué à la délégation être chacune responsable des traitements liés à la gestion de leur clientèle respective, ce qui correspond à ce qui est inscrit dans leurs registres. Le rapporteur n’a pas remis en cause cette qualification juridique dans le cadre de la présente procédure.