AgentPublic/cnil huggingface dataset:
87. Dans un contexte numérique, il est possible pour un salarié de se connecter à distance (par exemple, depuis son domicile) au système d’information de sa société au moyen de son ordinateur portable. Il s’agit de nomadisme numérique.
88. L’ANSSI définit le nomadisme numérique comme toute forme d’utilisation des technologies de l’information permettant à un utilisateur d’accéder au SI [système d’information] de son entité d’appartenance ou d’emploi, depuis des lieux distants, ces lieux n’étant pas maîtrisés par l’entité (ANSSI, Recommandations sur le nomadisme numérique , 2018).
89. Elle relève, dans ses recommandations susvisées, que les lieux de travail non maîtrisés par une entité exposent celle-ci à des risques exacerbés de perte ou de vol de matériel, de compromission du matériel (par exemple, pendant une absence temporaire de l’utilisateur), de compromission des informations contenues dans le matériel volé, perdu ou emprunté, d’accès illégitime au système d’information de la société (et donc la compromission de celui-ci), et d’interception, voire d’altération des informations (perte de confidentialité ou d’intégrité). 
90. Ainsi, l’ANSSI souligne que dans le cadre du nomadisme, l’objectif est de réussir à s’aligner avec le niveau de sécurité du SI [système d’information] interne de l’entité, en répondant aux risques d’exposition plus forts listés ci-dessus .
95. S’agissant plus spécifiquement de l’authentification du poste nomade sur le système d’information de l’entité, l’ANSSI rappelle que l’objectif est de garantir que le poste utilisé pour accéder au système d’information est un équipement maîtrisé par l’entité afin de réduire les risques qui résulteraient de l’utilisation de postes nomades non maîtrisés et dont le niveau de sécurité ne serait pas conforme à la politique de sécurité de l’entité. Elle recommande d’authentifier le poste nomade sur le SI [système d’information] au moyen d’un certificat machine [c’est-à-dire d’un certificat lié au poste nomade et non pas à l’utilisateur du poste nomade] et de protéger la clé privée de ce certificat en intégrité et en confidentialité, afin de s’assurer qu’elle ne puisse être accédée ni par l’utilisateur nomade ni par un attaquant .
96. Dès lors, l’ANSSI recommande depuis 2018 d’authentifier le poste nomade d’un utilisateur sur un système d’information au moyen d’un certificat machine, qui est lié au poste nomade et non pas à l’utilisateur de celui-ci. 
97. Dans son Guide de la sécurité des données personnelles de mars 2024, la CNIL recommande également de privilégier l’authentification multi facteur lorsque cela est possible, en particulier lorsque la connexion est accessible depuis l’extérieur du réseau de l’organisme .
98. Il résulte de ce qui précède que tant l’ANSSI que la CNIL recommandent d’authentifier un utilisateur sur un système d’information en mettant en œuvre une authentification multi facteur forte, notamment lorsque la connexion au système d’information de l’entité est accessible depuis l’extérieur de son réseau.
99. Le rapporteur reproche à la société de ne pas avoir mis en place des mesures de sécurité appropriées pour sécuriser l’accès par les utilisateurs au VPN de la société, à savoir une authentification des postes nomades et une authentification multi facteur des utilisateurs. Il considère que ces vulnérabilités constituent un manquement à l’article 32 du RGPD et ont rendu possible ou a minima facilité la survenance de la violation de millions de données à caractère personnel d’abonnés de la société entre le 28 septembre et le 22 octobre 2024. Il note que la société a entamé le déploiement de ces mesures au cours de la procédure de sanction afin de se mettre en conformité.
100. En défense, la société soutient avoir mis en place, au jour du contrôle, des mesures de sécurité suffisamment robustes s’agissant de l’authentification des utilisateurs et de leurs postes lors de leur connexion à son VPN. 
101. […].
 
102. […]. 
103. […]. 
104. […].
105. […].
106. A titre liminaire, la formation restreinte rappelle que dans le contexte de nomadisme numérique, il revient au responsable de traitement de déployer des mesures permettant de garantir que, tant la personne qui se connecte, que la machine qu’elle utilise, bénéficient des autorisations nécessaires pour se connecter aux ressources internes. Ces mesures s’ajoutent à celles qui doivent exister lorsqu’une personne est déjà authentifiée sur le réseau, telles que des mécanismes d’authentification robustes lors de l’accès à des outils.
107. […]. 
108. La formation restreinte rappelle que la connexion au VPN d’une entité par des postes qui n’appartiennent pas à son parc informatique présente un risque pour son système d’information dès lors qu’elle ne maîtrise pas les mesures de sécurité mises en œuvre sur ces équipements, qui peuvent donc ne pas correspondre au niveau de sécurité défini dans sa politique interne. 
109. […].
110. […]. 
111. […]. 
112. […]. 
113. […]. 
114. […]. 
115. […]. 
116. […]. 
117. […]. 
118. […].
3.1.2 Sur l’absence de détection des comportements anormaux
119. Dans sa délibération n° 2021-122 du 14 octobre 202 portant adoption d'une recommandation relative à la journalisation, la CNIL rappelle que la mise en place d’un dispositif de journalisation participe au respect de l’obligation de sécurisation de tout traitement de données à caractère personnel, en application des articles 5 et 32 du RGPD .
120. Ainsi, elle recommande aux organismes de collecter des informations sur les personnes administrant ou accédant à leurs ressources, comme l’identifiant de l’utilisateur, la date et l’heure de l’accès et l’identifiant de l’équipement utilisé (CNIL, La CNIL publie une recommandation relative aux mesures de journalisation , 18 novembre 2021).
121. La CNIL rappelle dans sa recommandation susvisée que cette sécurisation est essentiellement active : elle repose sur une exploitation en temps réel ou à court terme de ces données pour détecter des opérations anormales afin de parer des attaques ou intrusions, ou de remédier rapidement à un incident informatique en facilitant l’identification du problème . 
122. L’ANSSI rappelle également dans ses Recommandations de sécurité pour l'architecture d'un système de journalisation du 28 janvier 2022, que l’analyse continue des journaux d’évènements permet de repérer des activités inhabituelles, tandis que l’archivage des journaux rend possible les levées de doutes a posteriori. En ce sens, la journalisation constitue également le prérequis indispensable à la mise en œuvre d’une capacité de détection, d’analyse et de réponse aux incidents de sécurité .
126. Le rapporteur considère, qu’au jour du contrôle, les mesures de sécurité mises en œuvre par la société pour détecter une activité suspecte sur son VPN, son réseau interne et son outil de gestion de clientèle MOBO étaient insuffisantes, ce qui a rendu possible, ou a minima facilité, la perte de confidentialité de millions de données à caractère personnel d’abonnés de la société entre le 28 septembre et le 22 octobre 2024. Il note que la société s’est toutefois mise en conformité sur ce point au cours de la procédure.
127. En premier lieu, la société soutient, s’agissant des moyens de détection des connexions frauduleuses à son VPN, avoir déployé des mesures suffisamment robustes au jour du contrôle. 
128. Elle indique qu’elle recourait déjà à la solution de scoring […] proposée par un prestataire externe. Il s’agit d’une solution de prévention de la fraude, d’analyse des risques et de détection des menaces. Elle produit des indicateurs pour chacune des connexions à son VPN, à partir de plusieurs critères (par exemple, la localisation de l’adresse IP, ou le fait que l’utilisateur se connecte au VPN de la société via un VPN tiers) et attribue notamment un score de fraude entre 0 et 100 afin d’évaluer son niveau de risque (de faible à maximal). La société exploite les indicateurs générés par la solution […] afin de décider d’autoriser ou de refuser des connexions à son VPN.
129. La société indique, qu’à l’issue du contrôle, elle a déployé un centre opérationnel de sécurité qui assure une surveillance continue notamment des connexions à son VPN et mis en place une équipe interne dédiée aux réponses aux incidents de sécurité informatique.
130. En deuxième lieu, s’agissant des moyens de détection des comportements suspects sur son réseau interne, la société indique avoir déployé, à la suite du contrôle, un système de surveillance des flux de données circulant sur son réseau. 
131. En troisième lieu, s’agissant des moyens de détection des comportements anormaux sur l’outil MOBO, la société considère avoir, au jour du contrôle, mis en œuvre des mesures de sécurité suffisantes en déployant un dispositif de journalisation uniquement pour la fonctionnalité consultation , qui est la seule fonction permettant d’accéder de manière effective aux données de ses abonnés. Elle estime qu’il n’était pas nécessaire de déployer un mécanisme de surveillance et de détection pour la fonctionnalité recherche de son outil dès lors que celle-ci ne permet pas d’accéder à des données à caractère personnel. Elle précise que lorsqu’un utilisateur effectue une recherche et que celle-ci renvoie plusieurs résultats, l’utilisateur doit, pour accéder aux données des abonnés, cliquer sur la fonction consultation . Elle ajoute que lorsqu’une recherche renvoie un seul résultat, la fonctionnalité consultation , qui fait l’objet d’une surveillance, est automatiquement appelée.
132. Compte tenu de la position du rapporteur, la société indique avoir pris de nouvelles mesures de sécurité en instaurant un dispositif de surveillance des fonctions de recherches et de consultation de son outil MOBO avec un blocage automatique en fonction de certains critères et mis en place un tableau de bord de suivi notamment des utilisateurs bloqués, et des volumes de recherches par profil utilisateur.
133. En premier lieu, la formation restreinte relève, s’agissant des moyens de détection des connexions frauduleuses à son VPN, qu’il ressort des éléments communiqués par la société que celle-ci dispose d’un dispositif d’évaluation des connexions à son VPN et qu’elle l’a paramétré afin d’accepter, par défaut, l’ensemble des connexions à son VPN, sauf dans deux cas. 
134. […]. 
135. […]:
136. […]. 
137. […].
138. […].
139. […]. 
140. […].
141. […]. 
142. […].
143. La formation restreinte observe que le dispositif d’analyse des connexions s’est donc avéré inefficace face à l’attaque alors même que le nombre anormal de connexions à son système d’information, qui ne correspondait aucunement à un usage standard, constituait un indicateur à prendre en compter afin de déterminer leur légitimité. Cette vulnérabilité a notamment été exploitée par l’attaquant dans le cadre de la violation de données en cause. En effet, en l’absence de détection de son intrusion dans le système d’information de la société, il a été en mesure d’accéder, pendant presque un mois, à de très nombreuses reprises, aux données à caractère personnel qu’il contient, sans être arrêté par la société. 
144. Il en résulte que les mesures mises en œuvre par la société pour détecter les connexions frauduleuses à son VPN étaient insuffisantes au jour du contrôle.
145. De surcroit, la formation restreinte relève qu’au jour du contrôle, la société n’avait pas non plus déployé de mesures suffisantes permettant de détecter les comportements suspects sur son réseau interne. Dès lors, la société ne détectait ni les connexions frauduleuses à son VPN ni l’intrusion dans son réseau interne. Ainsi, lors de l’attaque, une fois connecté au VPN, l’attaquant a pu accéder au réseau interne de la société, et donc à ses ressources, sans être détecté. L’absence de système d’alerte relatif au trafic sur le réseau interne de la société est donc également une vulnérabilité utilisée par l’attaquant et a ainsi favorisé la violation de données. 
146. En deuxième lieu, s’agissant des moyens de détection des comportements anormaux sur l’outil MOBO, la formation restreinte rappelle que cet outil propose à ses utilisateurs de remplir un formulaire afin de réaliser une recherche concernant un abonné de la société, et d’accéder aux résultats de cette recherche par l’intermédiaire d’une fonctionnalité de consultation . La formation restreinte relève que les fonctions recherche et consultation font toutes les deux l’objet d’une journalisation mais, qu’au jour du contrôle, seule la fonctionnalité consultation était analysée par un système créant des alertes en cas d’utilisation anormale.
147. La formation restreinte observe que la fonctionnalité recherche de l’outil MOBO ne permet pas à un utilisateur d’afficher directement sur son écran les résultats des recherches effectuées et donc les données à caractère personnel qu’ils contiennent. En effet, soit les résultats de la recherche comportent plusieurs résultats et l’utilisateur doit cliquer sur la fiche d’un abonné pour accéder à la consultation des données, soit les résultats de la recherche comportent un seul résultat et les données sont affichées grâce au déclenchement de la fonctionnalité consultation . 
148. La formation restreinte observe toutefois que lorsqu’un utilisateur réalise une recherche , l’outil MOBO renvoie une réponse http dont le contenu est accessible, sans passer par la fonction consultation . En effet, en ouvrant l’outil de développement du navigateur, l’utilisateur peut accéder aux résultats de la recherche, celles-ci comportant les données à caractère personnel de l’abonné. 
149. Dès lors, la formation restreinte considère que les requêtes, qui permettaient de prendre connaissance des résultats de la recherche et donc d’accéder aux données à caractère personnel, auraient également dû faire l’objet d’une analyse de journalisation, de la même manière que la fonctionnalité consultation . 
150. La formation restreinte souligne que cette vulnérabilité a été exploitée par l’attaquant dans le cadre de la violation de données en cause. […].
155. Ainsi, le stockage des mots de passe des utilisateurs doit être réalisé de façon sécurisée. A cet égard, il est recommandé de stocker les empreintes de mots de passe plutôt que les mots de passe en clair. Pour obtenir une telle empreinte de mot de passe, il est en principe nécessaire de recourir à une fonction de hachage cryptographique mathématiquement éprouvée et lente à exécuter, tout en utilisant un sel aléatoire et long pour chaque mot de passe (d’une longueur d’au moins 128 bits), et ce, afin de se prémunir contre des attaquants qui auraient précalculé des tables de correspondance entre les mots de passe et leurs empreintes respectives.
156. […].
157. […].
158. A titre liminaire, la formation restreinte rappelle que, dans le cadre de la violation de données en cause, l’attaquant n’a pas exploité de vulnérabilité liée aux modalités de stockage des mots de passe des utilisateurs de l’outil MOBO.
159. […].
160. […]. 
161. […].
162. Par conséquent, la formation restreinte considère qu’il revenait à la société FREE MOBILE d’utiliser un algorithme de stockage de mot de passe lent et coûteux en espace mémoire, tel que cela ressort clairement des recommandations de l’ANSSI et de la CNIL précitées, afin de permettre en cas d’attaque, par exemple par force brute ou par dictionnaire, de ralentir un attaquant dans son identification des mots de passe.
163. La formation restreinte considère que les modalités de stockage des mots de passe des utilisateurs de l’outil MOBO constitue une vulnérabilité du système d’information de la société, peu important que celle-ci ait été exploitée ou non par l’attaquant dans le cadre de la violation de données en cause. 
164. […]. 
165. Au vu de ce qui précède, la formation restreinte considère, qu’au jour du contrôle, les modalités de stockage des mots de passe des utilisateurs de l’outil MOBO ne permettaient pas d’assurer leur confidentialité, ce qui constitue un manquement aux dispositions de l’article 32 du RGPD. 
166. […].
D. Sur le manquement à l’obligation de communiquer aux personnes concernées de la survenance d’une violation de données à caractère personnel en application de l’article 34 du RGPD
167. En droit, aux termes de l’article 34, paragraphe 1, du RGPD, lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais .
168. Le paragraphe 2 de l’article susmentionné précise les mentions qui doivent obligatoirement figurer dans le contenu de cette communication. Celle-ci doit contenir une description de la nature de la violation de données, des conséquences probables de la violation de données à caractère personnel, ainsi que des mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives. Par ailleurs, elle doit communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenue.
169. Le considérant 86 du RGPD précise que cette communication doit formuler des recommandations à la personne physique concernée pour atténuer les effets négatifs potentiels puisque que son objectif est de permettre aux personnes concernées de prendre les précautions qui s'imposent .
170. Le rapporteur considère que la société a commis un manquement à l’article 34 du RGPD dès lors que le courriel d’information adressé par la société aux personnes concernées par la violation de données ne permet de les éclairer ni quant aux mesures de remédiation qu’elle a prises, ni sur les conséquences probables de la violation de données, ni enfin sur les mesures que ces personnes doivent prendre pour se prémunir des risques auxquels la violation les expose.
171. En défense, la société estime avoir respecté l’article 34 du RGPD. 
172. Tout d’abord, sur la forme de la communication, la société indique avoir adopté une approche à plusieurs niveaux. D’une part, un courriel a été adressé aux personnes concernées, entre les 24 et 29 octobre 2024, afin de leur communiquer un premier niveau d’information synthétique. La société précise avoir procédé à une communication échelonnée afin d’éviter de saturer les serveurs de messagerie des personnes. D’autre part, un second niveau d’information a été communiqué aux personnes par l’intermédiaire d’un numéro vert gratuit disponible 7 jours sur 7, visé dans le courriel d’information initial, et d’un dispositif interne de gestion des demandes (ticket DPO ). La société précise que le numéro vert mis en place lui a permis de répondre à 58 239 appels et que, grâce au système de ticket DPO, elle a pu traiter 1 081 demandes.
173. Puis, sur le fond de la communication, la société considère que le courriel d’information initial était complet au regard des exigences posées par l’article 34, paragraphe 2, du RGPD. Elle fait valoir que celui-ci informait les personnes de la survenance de la violation de données en cause, les alertait sur les risques de courriels, SMS ou appels frauduleux , leur rappelait que ses conseillers ne demandent jamais la communication de mots de passe à l’oral et elle les invitait, en cas de situation anormale, à consulter le site officiel cybermalveillance.gouv.fr pour effectuer un signalement. 
174. La société justifie l’envoi d’un message de vigilance générale par le fait qu’elle ne pouvait pas anticiper toutes les formes d’exploitation futures de la violation de données. 
175. Plus spécifiquement la société soutient que l’article 34, paragraphe 2, du RGPD, qui renvoie à l’article 33, paragraphe 3, ne lui imposait pas de détailler aux personnes concernées l’ensemble des mesures prises afin de mettre fin à la violation de données. Elle considère qu’une position contraire engendrerait un risque de compromission de la sécurité du système d’information concerné.
176. Enfin, la société considère que le nombre important de plaintes reçues par la CNIL résulte de la médiatisation exceptionnelle de la violation de données, à laquelle la CNIL a participé. Elle considère que les fraudes et tentatives de fraude, dont font état certains plaignants, ne sont pas imputables à un défaut d’informations de sa part dès lors qu’elle a pris les mesures nécessaires pour sensibiliser ses abonnés aux risques de fraude (notamment, par la mise en ligne d’une page d’assistance dédiée au phishing, une campagne de sensibilisation par courriel, la mise en place d’une veille proactive des sites susceptibles de conduire des campagnes de phishing visant ses abonnés). 
177. La formation restreinte rappelle que l’article 34 du RGPD impose à un responsable de traitement, victime d’une violation de données, de communiquer certaines informations aux personnes concernées lorsque la violation de données est susceptible d’engendrer un risque élevé pour leurs droits et libertés. 
178. La formation restreinte rappelle également que, comme le souligne le Comité européen de la protection des données (ci-après CEPD ) dans ses lignes directrices sur la notification de violations de données à caractère personnel en vertu du règlement (UE) 2016/679 adoptées le 28 mars 2023, l’objectif principal [de l’article 34 du RGPD] est d’aider les personnes concernées à comprendre la nature de la violation ainsi que les mesures qu’elles peuvent mettre en place pour se protéger .
193. S’agissant de l’information relative aux conséquences probables de la violation de données en cause et des mesures à prendre pour en atténuer les éventuelles conséquences négatives, la formation restreinte rappelle que la société a indiqué aux personnes concernées nous vous invitons à la plus grande vigilance face au risque d’emails, SMS ou appels frauduleux. Sachez que nos conseillers ne vous demanderont jamais vos mots de passe à l’oral. En cas de suspicion ou de situation anormales, nous vous invitons à contacter le service officiel d’assistance aux victimes numériques sur : www.cybermalveillance.gouv.fr pour effectuer un signalement et faire valoir vos droits . 
194. La formation restreinte estime que cette formulation est trop vague pour atteindre l’objectif d’aider les personnes concernées à comprendre les principaux risques auxquels elles sont exposées, ainsi que les mesures qu’elles peuvent mettre en place pour s’en protéger.
197. En troisième lieu, la formation restreinte relève que la communication de la CNIL intitulée Violations massives de données en 2024 : quels sont les principaux enseignements et mesures à prendre du 28 janvier 2025 mentionnait des violations de données de différents responsables de traitement dont celle de la société. D’une part, elle estime que cette communication n’a pas accru le nombre de plaintes dès lors que dès décembre 2024, la CNIL avait déjà reçu la très grande majorité des plaintes sur les 2 614 reçues au jour de la notification du rapport le 25 juillet 2025, ce qui constituait un nombre record. D’autre part, la communication n’a pas augmenté le nombre de plaintes déposées à l’encontre des autres responsables de traitement cités. 
198. Il résulte de ce qui précède que, le courriel d’information initial n’a pas constitué une communication appropriée, dès lors que les seules informations qu’il contenait ne permettaient pas aux millions de personnes concernées par la violation de données en cause d’être rassurées sur le fait que la société avait bien pris les mesures de remédiation nécessaires, ni de comprendre les risques auxquels elles étaient exposées, dont ceux liés à des emails, SMS ou appels frauduleux , ni les mesures à prendre pour s’en prémunir.