AgentPublic/cnil huggingface dataset:
138. En deuxième lieu, la formation restreinte relève que le courriel adressé aux personnes concernées les informait du fait que la société avait été victime d’une cyberattaque ciblant son outil de gestion, ayant entraîné un accès non autorisé à une partie des données à caractère personnel associées aux comptes des abonnés (leurs nom, prénom, adresse électronique, adresse postale, date et lieu de naissance, numéro de téléphone, identifiant abonné et données contractuelles). Ce courriel précisait également que " toutes les mesures nécessaires ont été prises immédiatement pour mettre fin à cette attaque et renforcer la protection de [ses] systèmes d’information ", que la violation de données avait été notifiée à la CNIL, ainsi qu’à l’ANSSI et qu’une plainte avait également été déposée auprès du procureur de la République. En outre, la société invitait les personnes concernées " à la plus grande vigilance face au risque d’emails, SMS ou appels frauduleux ", précisait que ses conseillers ne demanderaient jamais la communication à l’oral de mot de passe et les invitait, en cas de suspicion ou de situation anormale à contacter le service officiel d’assistance aux victimes numériques sur le site web cybermalveillance.gouv.fr afin d’effectuer un signalement. Enfin, " pour toute question et demande de renseignement ", le courriel précisait que la société tenait à la disposition des personnes concernées un numéro vert, gratuit, accessible 7 jours sur 7, de 9 heures à 18 heures.
139. La formation restreinte estime que, si la majorité des informations essentielles figuraient dans le courriel d’information initial et que le mode de communication permettait aux personnes concernées d’accéder aux autres informations essentielles par l’intermédiaire du second niveau d’information, il n’en demeure pas moins que certains éléments importants n’étaient pas mentionnés.
140. S’agissant de l’information relative aux mesures de remédiation, il est admis que, dans certains cas, des mesures de sécurité déployées par un organisme doivent effectivement rester secrètes afin de ne pas exposer son système d’information à des risques de nouvelles attaques. La formation restreinte précise, cependant, que toutes les mesures de sécurité mises en œuvre par un organisme ne présentent pas un risque pour la sécurité d’un système d’information et n’ont donc pas nécessairement vocation à demeurer secrètes.
141. La formation restreinte observe que la société a uniquement indiqué aux personnes concernées par la violation de données en cause que " toutes les mesures nécessaires ont été prises immédiatement pour mettre fin à cette attaque et renforcer la protection de nos systèmes d’information ", ce qui constitue, selon la formation restreinte, une formulation trop générale et abstraite pour se conformer à l’article 34, paragraphe 2, du RGPD. En effet, l’article 33, paragraphe 3, point d), auquel l’article susmentionné renvoie prévoit une obligation de " décrire " ces mesures.
142. La formation restreinte estime dès lors que, sans mettre en danger son système d’information, ni celui de la société FREE MOBILE, la société FREE aurait dû " décrire ", même brièvement, dans des termes simples, les principales mesures correctives prises pour remédier à la violation de données en cause. La formation restreinte rappelle que l’objectif de cette communication est de rassurer les personnes concernées sur la protection effective de leurs données à caractère personnel.
143. La formation restreinte relève que, dans le cadre de la notification initiale effectuée auprès de la CNIL quelques jours avant la communication réalisée auprès des personnes concernées, la société avait bien décrit ces mesures, conformément à l’article 33 du RGPD (obligation de notifier la violation de données à la Commission). Sans entrer dans le détail de ces mesures pour permettre la lisibilité de la communication aux personnes, la formation restreinte considère que la société aurait notamment dû indiquer que les comptes compromis ont été révoqués, les vulnérabilités liées à son outil métier corrigées, l’accès aux données à caractère personnel renforcé. Ces éléments d’information sont compréhensibles pour les personnes concernées et ne sont pas de nature à compromettre le système d’information de la société.
144. S’agissant de l’information relative aux conséquences probables de la violation de données en cause et des mesures à prendre pour en atténuer les éventuelles conséquences négatives, la formation restreinte rappelle que la société a indiqué aux personnes concernées " nous vous invitons à la plus grande vigilance face au risque d’emails, SMS ou appels frauduleux. Sachez que nos conseillers ne vous demanderont jamais vos mots de passe à l’oral. En cas de suspicion ou de situation anormales, nous vous invitons à contacter le service officiel d’assistance aux victimes numériques sur : www.cybermalveillance.gouv.fr pour effectuer un signalement et faire valoir vos droits ".
145. La formation restreinte estime que cette formulation est trop vague pour atteindre l’objectif d’aider les personnes concernées à comprendre les principaux risques auxquels elles sont exposées, ainsi que les mesures qu’elles peuvent mettre en place pour s’en protéger.
146. En effet, d’une part, la formation restreinte considère que les personnes concernées ne sont pas mises en mesure d’appréhender le contexte dans lequel elles pourraient être sollicitées par courriel, SMS ou téléphone, ni de comprendre les réflexes à adopter pour se prémunir des conséquences négatives. La formation restreinte observe que la société avait pourtant bien identifié dans le cadre des scripts de questions/réponses mis à la disposition des conseillers répondant aux appels qu’il existait un scénario de risque relatif à des " tentatives de fraude en se faisant passer pour Free ou tout autre organisme ". La formation restreinte note qu’elle avait également identifié des recommandations à prodiguer aux personnes (par exemple : ne jamais communiquer ses informations personnelles par email, SMS ou lors d’un appel, ne jamais ouvrir une pièce jointe d’un courriel en cas de doute). La formation restreinte considère que ces informations, identifiées au jour de l’envoi du courriel d’information, auraient dû être transmises de manière synthétique aux personnes concernées.
147. D’autre part, la formation restreinte considère qu’en visant uniquement le " risque d’emails, SMS ou appels frauduleux ", la société n’a pas communiqué l’ensemble des principaux risques auxquels sont exposées les personnes concernées par la violation. La société les avait pourtant identifiés lors de sa notification initiale auprès de la CNIL, ainsi que dans les scripts de questions/réponses fournis aux conseillers répondant aux appels. A titre d’exemple, s’agissant du risque d’usurpation d’identité, dès lors que les personnes le découvrent généralement a posteriori, la formation restreinte estime qu’une mention de ce risque, susceptible de causer un préjudice important en cas de réalisation, associé à un renvoi vers la page dédiée du site cybermalveillance.gouv.fr, qui communique des informations sur les principaux signes dont il faut se méfier, aurait été plus efficace qu’un renvoi vers sa page d’accueil, compte tenu de la densité d’informations qui figurent sur ce site, et qui ne sont pas toutes appropriées au cas d’espèce. L’avantage d’une telle approche est de communiquer sur le risque et d’apporter des informations plus détaillées, sans nuire à l’ergonomie ni à la lisibilité de l’information.
148. Par ailleurs, compte tenu du fait que certains IBAN d’abonnés ont été touchés par la violation de données, la formation restreinte estime que la société aurait dû alerter spécifiquement sur les risques d’exploitation frauduleuse de coordonnées bancaires, rassurer sur le fait que les établissements bancaires en avaient été informés et inviter les personnes concernées à consulter régulièrement leur compte bancaire et à rester vigilantes en cas d’appels frauduleux d’une personne se faisant passer pour un conseiller bancaire.
149. En troisième lieu, la formation restreinte relève que la communication de la CNIL intitulée " Violations massives de données en 2024 : quels sont les principaux enseignements et mesures à prendre " du 28 janvier 2025 mentionnait des violations de données de différents responsables de traitement, dont celle de la société. D’une part, elle estime que cette communication n’a pas accru le nombre de plaintes dès lors que dès décembre 2024, la CNIL avait déjà reçu la très grande majorité des plaintes sur les 2 614 reçues au jour de la notification du rapport le 25 juillet 2025, ce qui constituait un nombre record. D’autre part, la communication n’a pas augmenté le nombre de plaintes déposées à l’encontre des autres responsables de traitement cités.
150. Il résulte de ce qui précède que, le courriel d’information initial n’a pas constitué une communication appropriée dès lors que les seules informations qu’il contenait ne permettaient pas aux millions de personnes concernées par la violation de données en cause d’être rassurées sur le fait que la société avait bien pris les mesures de remédiation nécessaires, ni de comprendre les risques auxquels elles étaient exposées, dont ceux liés à des " emails, SMS ou appels frauduleux ", ni les mesures à prendre pour s’en prémunir.
151. Dès lors, la formation restreinte considère que la société a commis un manquement à l’article 34 du RGPD en ne communiquant pas aux personnes concernées par la violation de données les informations nécessaires dès le premier niveau d’information.
IV. Sur les mesures correctrices
152. Aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
153. 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;
154. 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
155. L’article 83 du RGPD prévoit en outre que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
156. Le deuxième alinéa de l’article 22 de la loi Informatique et Libertés dispose ensuite que " la formation restreinte peut rendre publique les mesures qu’elle prend ".
157. Le considérant 150 du RGPD prévoit que " lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l'Union européenne ".
158. Les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679 précisent que la notion d’entreprise doit s’entendre comme " une unité économique pouvant être formée par la société mère et toutes les filiales concernées. Conformément au droit et à la jurisprudence de l’Union, il y a lieu d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée ".
159. Dans un arrêt du 5 décembre 2023 (CJUE, grande chambre, C-807/21), la CUJE a considéré, s’agissant de la notion d’ " entreprise " qu’ " ainsi que l’a relevé M. l’avocat général au point 45 de ses conclusions, c’est dans ce contexte spécifique du calcul des amendes administratives imposées pour des violations visées à l’article 83, paragraphes 4 à 6, du RGPD qu’il y a lieu d’appréhender le renvoi, effectué au considérant 150 de ce règlement, à la notion d’ " entreprise ", au sens des articles 101 et 102 TFUE. À cet égard, il convient de souligner que, aux fins de l’application des règles de la concurrence, visées par les articles 101 et 102 TFUE, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 6 octobre 2021, Sumal, C 882/19, EU:C:2021:800, point 41 et jurisprudence citée). Ainsi, il ressort de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives pour les violations énumérées dans ces paragraphes, que, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une entreprise, au sens
des articles 101 et 102 TFUE, le montant maximal de l’amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée. En définitive, ainsi que M. l’avocat général l’a relevé au point 47 de ses conclusions, seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire, et donc imposée par l’autorité de contrôle en se fondant, en ce qui concerne le montant de celle-ci, sur la notion d’unité économique au sens de la jurisprudence citée au point 56 du présent arrêt, est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive. Dès lors, lorsqu’une autorité de contrôle décide, au titre des pouvoirs qu’elle détient en vertu de l’article 58, paragraphe 2, du RGPD, d’imposer à un responsable du traitement, qui est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, une amende administrative en application de l’article 83 dudit règlement, cette autorité est tenue de se fonder, en vertu de cette dernière disposition, lue à la lumière du considérant 150 du même règlement, lors du calcul des amendes administratives pour les violations visées aux paragraphes 4 à 6 de cet article 83, sur la notion d’" entreprise ", au sens de ces articles 101 et 102 TFUE "(paragraphes 55 à 59).
160. Cette position a été confirmée par la Cour dans son arrêt du 13 février 2025 (CJUE, cinquième chambre, C-383/23).
A. Sur le prononcé d’une amende administrative et son montant
161. A titre liminaire, la société reproche au rapporteur de sanctionner deux fois les mêmes faits en prenant en compte le chiffre d’affaires de la maison mère des sociétés pour sanctionner à la fois la société FREE et la société FREE MOBILE, compte tenu de la violation des données des clients convergents. La société considère que le rapporteur méconnaît ainsi le principe " non bis in idem ".
162. Le rapporteur considère ne pas avoir méconnu le principe " non bis in idem " en proposant à la formation restreinte de sanctionner les sociétés FREE et FREE MOBILE, deux personnes morales distinctes, pour des faits distincts, qui ont notamment impacté les données d’abonnés convergents.
163. La formation restreinte rappelle qu’il résulte de l’article 50 de la Charte des droits fondamentaux de l’Union européenne, relatif au principe " non bis in idem " que " nul ne peut être poursuivi ou puni pénalement en raison d'une infraction pour laquelle il a déjà été acquitté ou condamné dans l'Union par un jugement pénal définitif conformément à la loi ".
164. Elle rappelle également que ce principe a vocation à s’appliquer dans l’hypothèse où une personne a déjà été condamnée ou acquittée par un jugement définitif, pour des faits relevant de la même infraction (CJUE, 7 janvier 2004, Aalborg Portland e.a./Commission, affaire C 204/00 P, § 338).
165. En l’espèce, la formation restreinte rappelle que la violation de données en cause, qui a notamment concerné les données de clients dits " convergents ", a été rendue possible ou a été facilitée par des vulnérabilités qui sont à la fois propres au système d’information de la société FREE et propres à celui de la société FREE MOBILE. Compte tenu de leurs responsabilités respectives à l’égard de leurs propres systèmes d’information, deux procédures de sanction distinctes ont été diligentées à l’encontre des deux sociétés. Dans le cadre de la procédure de sanction visant la société FREE, la formation restreinte considère que celle-ci a commis un manquement à l’article 32 du RGPD, compte tenu des vulnérabilités propres à son système d’information (absence de sécurisation de la connexion au VPN non exploitée par l’attaquant, absence de moyens de détection des comportements suspects sur son outil SIEBEL exploitée par l’attaquant). Ces faits et leur imputation sont distincts de ceux imputés à la société FREE MOBILE.
166. Dès lors, la formation restreinte considère ne pas méconnaitre le principe " non bis in idem " en sanctionnant deux personnes morales distinctes pour des faits distincts, ayant touché pour partie les mêmes données.
167. Par conséquent, la formation restreinte écarte le grief tiré d’une méconnaissance du principe " non bis in idem ".
1. Sur le prononcé d’une amende administrative
168. Le rapporteur propose à la formation restreinte de prononcer à l’encontre de la société une amende administrative au regard de manquements constitués aux articles 32 et 34 du RGPD.
169. En défense, la société conteste l’analyse du rapporteur s’agissant des critères de l’article 83 du RGPD qui permettent de déterminer s’il y a lieu de prononcer une amende et de fixer son montant. Tout d’abord, s’agissant de la gravité de la violation de données, elle estime que, compte tenu de la recrudescence de la cybermenace, les données concernées avaient donc déjà fait l’objet de violations antérieures. Elle fait notamment valoir qu’elle a pris toutes les mesures nécessaires pour remédier à la violation de données en cause, qui s’inscrit dans le cadre d’une recrudescence de cyberattaque, et pour atténuer les conséquences de celle-ci pour les personnes concernées. Par ailleurs, elle rappelle s’être mise en conformité en cours de procédure, avant la clôture de l’instruction, à l’égard des manquements relevés par le rapporteur. En outre, elle soutient ne pas avoir tiré d’avantages financiers de la violation de données et avoir, au contraire, subi un préjudice qui se traduit par la baisse du nombre des nouveaux abonnés au premier semestre de l’année 2025. Enfin, elle considère que la communication réalisée par la CNIL auprès des plaignants et sur son site web, viole le secret de l’enquête et de l’instruction ainsi que sa présomption d’innocence et doit être pris en compte.
170. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes.
171. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’alinéa a) relatif à la gravité du manquement compte tenu de la nature, de la portée ou de la finalité du traitement, ainsi que du nombre de personnes affectées et du niveau de dommage qu’elles ont subi.
172. La formation restreinte rappelle que les manquements commis ont concerné un nombre très important de personnes puisque, d’une part, la violation de données a concerné les données de plus de 24 millions de contrats d’abonnés (dont 7,6 millions de contrats FREE). La formation restreinte observe que ce volume reflète la place centrale occupée par la société dans le secteur des télécommunications en France.
173. Par ailleurs, la formation restreinte a considéré que l’insuffisance des mesures de sécurité déployées par la société de détection des comportements suspects avait permis ou a facilité la survenance de la violation de données. Elle estime que le contexte de recrudescence de cyberattaques nécessite une attention particulière des responsables du traitement pour assurer la sécurité des données qu’ils traitent. En l’espèce, la violation de données a conduit à une surexposition des données et ainsi augmenté le risque d’utilisations frauduleuses.
174. En outre, la formation restreinte relève que sur les 24 633 469 contrats concernés (dont 7,6 millions de contrats FREE) par la violation de données, seules 58 239 personnes ont appelé le numéro de téléphone gratuit mis à disposition par les sociétés FREE et FREE MOBILE et ont donc bénéficié d’informations complètes sur les conséquences probables de la violation et les mesures que les personnes peuvent prendre pour les éviter. Ce défaut de communication d’informations essentielles à un très grand nombre de personnes a significativement augmenté la survenance des risques exposés au point 2 de la présente délibération.
175. Enfin, la formation restreinte observe que la violation de données en cause a généré un nombre sans précédent de plaintes adressées à la CNIL, ce qui reflète la grande inquiétude des personnes concernées. La formation restreinte relève que l’imprécision des courriels de notification adressés en application de l’article 34 du RGPD n’a pu qu’alimenter la crainte et l’incertitude des personnes s’agissant des conséquences de la violation sur leur vie privée.
176. Il résulte de ce qui précède que les manquements caractérisés à l’égard de la société sont particulièrement graves.
177. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.
178. S’agissant du manquement à l’article 32 du RGPD, la formation restreinte relève, que les mesures de sécurité qui auraient permis d’empêcher ou de limiter la violation sont pourtant bien identifiées par l’état de l’art, et qu’elle disposait des moyens humains, techniques et financiers pour les mettre en œuvre.
179. S’agissant du manquement à l’article 34 du RGPD, la formation restreinte estime que la société a fait preuve de négligence en ne portant pas à la connaissance des personnes concernées, dès le courriel de notification, les risques encourus par ces dernières, ainsi que les mesures qu’elles doivent prendre pour s’en prémunir alors même qu’elle les avait identifiés.