AgentPublic/cnil huggingface dataset:
236. En outre, s’agissant de la communication réalisée par la Commission sur son site web, la formation restreinte observe que, l’article intitulé Fuite de données et vol de votre IBAN : comment vous protéger si vous êtes concerné ? publié sur le site web de la CNIL le 8 août 2025 rappelle les risques encourus par les personnes concernées en cas d’usurpation de leur IBAN et formule des conseils pour s’en prémunir. La formation restreinte relève que cet article ne mentionne pas la société. La seule communication de la CNIL qui mentionne la société, comme victime d’une violation de données au même titre que d’autres acteurs également cités, s’intitule Violations massives de données en 2024 : quels sont les principaux enseignements et mesures à prendre ? et date du 28 janvier 2025. D’une part, la formation restreinte note que cet article ne comporte aucune information couverte par le secret de l’enquête (par exemple, le périmètre du contrôle, les manquements constatés), qui était en cours au moment de sa publication, ni aucun jugement de valeur sur la société. Cet article ne vise qu’à sensibiliser les organismes, dans un contexte de recrudescence de violations de données, aux modes opératoires utilisés par les attaquants, qui exploitent régulièrement les mêmes vulnérabilités. D’autre part, la formation restreinte observe qu’à la date de publication de cet article, la violation de données dont a été victime la société était déjà publique dès lors qu’elle avait été relayée sur le
site web cybermalveillance.gouv.fr, ainsi que dans la presse.
237. Par conséquent, la formation restreinte estime que les communications de la CNIL ne sont pas de nature à constituer une circonstance atténuante.
238. En conséquence, la formation restreinte estime, au vu de l’ensemble de ces éléments et au regard des critères fixés à l’article 83 du RGPD, qu’il y a lieu de prononcer une amende administrative au titre des manquements en cause.
2. Sur le montant de l’amende administrative
239. En défense, la société soutient que le montant de l’amende proposé par le rapporteur est disproportionné au regard des décisions antérieures de la formation restreinte. Elle ajoute qu’en prononçant une amende particulièrement élevée, la formation restreinte enverrait un mauvais signal aux autres responsables de traitement victimes d’une violation de données, qui pourraient décider ne pas porter à la connaissance de la Commission la survenance d’une violation de données et céder aux exigences des attaquants.
240. La formation restreinte relève d’abord que le manquement relatif à l’article 5-1-e) du RGPD est un manquement à l’un des principes clés du RGPD, susceptible de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros et jusqu’à 4 % du chiffre d’affaires annuel, le montant le plus élevé étant retenu. Elle rappelle que les amendes administratives doivent être dissuasives et proportionnées.
241. Elle considère ensuite qu’il convient de recourir à la notion d’ entreprise en droit de la concurrence, en vertu de la référence directe et explicite opérée à cette notion par le considérant 150 du RGPD ainsi que par les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679. Elle souligne en effet que dans des arrêts rendus au titre du RGPD, la CJUE a confirmé que la notion d’ entreprise contenue à l’article 83 du RGPD devait bien s’appréhender au regard du droit de la concurrence, régit par les articles 101 et 102 du TFUE (CJUE, grande chambre, 5 décembre 2023, C-807/21 et CJUE, cinquième chambre, 13 février 2025, C-383/23).
242. S’agissant de ce que recouvre la notion d’ entreprise , la formation restreinte relève que dans son arrêt précité du 5 décembre 2023, la CJUE retient qu’une entreprise est une unité économique, même si du point de vue juridique cette unité économique est constituée de plusieurs personnes morales. La CJUE précise qu’à l’instar du droit de la concurrence (Cour de Cassation, ch. com., 7 juin 2023, pourvoi n° 22-10.545 ; Autorité de la concurrence, décisions n° 21-D-10 du 3 mai 2021 et n° 21-D-28 du 9 décembre 2021), lorsqu’une filiale est détenue directement ou indirectement à 100 % par sa maison mère, il existe une présomption réfragable selon laquelle la maison mère exerce une influence déterminante sur le comportement de la société. Pour déterminer le montant de l’amende envisagée, et qu’il corresponde à la capacité économique réelle de son destinataire, il convient alors, selon les deux arrêts précités, si les deux sociétés peuvent matériellement être regardées comme relevant de la même unité économique, de prendre en compte le chiffre d’affaires de la maison mère afin que l’amende soit effective, proportionnée et dissuasive.
243. En l’espèce, la formation restreinte rappelle que la société ILIAD détient à 100 % la société FREE MOBILE et considère ainsi, à l’instar du droit de la concurrence, qu’il existe une présomption selon laquelle la société ILIAD exerce une influence déterminante sur le comportement de la société FREE MOBILE sur le marché (CJUE, grande chambre, 5 décembre 2023, C-807/21 ; également CJUE, troisième chambre, 10 septembre 2009, Akzo C 97/08 P, paragraphes 58 à 61. Voir également, pour l’application de la présomption d’influence déterminante en cas de détention en chaîne : CJUE, Eni c/ Commission, 8 mai 2013 (C-508/11 P, § 48). Par conséquent, les sociétés ILIAD et FREE MOBILE constituent une seule entité économique et forment donc une seule entreprise au sens de l’article 101 du TFUE.
244. Compte tenu de ce qui précède, la formation restreinte considère qu’il y a lieu de retenir le chiffre d’affaires de l’entreprise au sens d’ unité économique , à savoir celui de la maison mère du groupe. Elle rappelle qu’en 2024 le chiffre d’affaires de la société ILIAD était de 10,024 milliards d’euros pour un résultat net de 367 millions d’euros. La formation restreinte observe qu’au premier trimestre 2025, le chiffre d’affaires de la société ILIAD est de 2,5 milliards d’euros, dont 1,6 milliards provient de ses filiales françaises, dont la société FREE MOBILE. La formation restreinte relève également que le chiffre d’affaires de la société ILIAD, au premier trimestre 2025, est en hausse de 4,3 % par rapport au premier trimestre de l’année précédente.
245. S’agissant du montant de l’amende, la formation restreinte rappelle qu’il doit être proportionné et dissuasif, au regard des responsabilités et capacités financières de l’organisme mis en cause et des critères pertinents de l’article 83 du RGPD. Dès lors, le montant d’une amende est déterminé en fonction de chaque cas d’espèce. La formation restreinte relève notamment, en l’espèce, les ressources humaines, techniques et financières dont dispose la société pour respecter ses obligations au titre de la règlementation relative à la protection des données à caractère personnel, ainsi que le nombre particulièrement élevé de données et de personnes concernées par la violation de données (les données concernant 24 633 469 contrats) et les manquements en cause. Compte tenu de ce qui précède, la formation restreinte considère qu’apparait adapté de prononcer à l’encontre de la société FREE MOBILE une amende administrative d’un montant de 27 000 000 (vingt-sept millions) d’euros, au regard des manquements constitués aux articles 5-1-e), 32 et 34 du RGPD. Contrairement à ce que soutient la société, la formation restreinte considère que le prononcé de cette amende n’entraînera pas une absence de notification auprès de la Commission par d’autres responsables de traitement victimes d’une violation de données. La formation restreinte rappelle à cet égard que la notification d’une violation de données présentant un risque pour les droits et libertés des personnes à la CNIL constitue une
obligation pour les responsables du traitement, dont la méconnaissance constitue un manquement à l’article 33 du RGPD pouvant donner lieu au prononcé d’une mesure correctrice par la formation restreinte.
B. Sur le prononcé d’une injonction
246. Dans son rapport initial, le rapporteur proposait à la formation restreinte de prononcer à l’encontre de la société une injonction de mettre en conformité le traitement avec les dispositions des articles 5-1-e) et 32 du RGPD, assortie d’une astreinte.
247. En défense, la société soutient que le prononcé d’une injonction est sans objet, dès lors qu’elle a déployé des mesures de mise en conformité en cours de procédure.
248. La formation restreinte relève qu’au jour de la séance, la société n’a pas justifié de l’évolution de l’ensemble des pratiques mises en cause dans le cadre de la procédure de sanction diligentée à son encontre. Dès lors, elle considère qu’afin de s’assurer de la mise en conformité de la société s’agissant des manquements relevés aux articles 5-1-e) et 32 du RGPD, le prononcé d’une injonction apparait nécessaire.
249. S’agissant du manquement à l’article 5-1-e) du RGPD, la formation restreinte considère que la société doit implémenter sa politique de durée de conservation des données, d’une part, en déployant un mécanisme de purge, au sein de sa base de données, concernant les données des clients des contrats résiliés depuis plus de dix ans, d’autre part, en réalisant un tri afin de conserver, à des fins d’obligations comptables, pendant dix ans, uniquement les données qui lui sont strictement nécessaires.
250. […].
251. Par ailleurs, pour garantir le respect de cette injonction, la formation restreinte considère qu’au regard du chiffre d’affaires de la société et des moyens financiers, humains et techniques dont elle dispose pour remédier aux manquements constatés, il convient de prononcer une astreinte journalière d’un montant de 50 000 (cinquante mille) euros par jour de retard, liquidable à l’issue d’un délai de 6 (six) mois s’agissant de l’injonction relative à l’article 5-1-e) du RGPD et dans un délai de 3 (trois) mois s’agissant de l’injonction relative à l’article 32 du RGPD, à compter de la notification de la décision.
C. Sur la publicité de la sanction
252. La société conteste la proposition du rapporteur de rendre publique la présente délibération, compte tenu notamment de la sensibilité des mesures de sécurité visées dans le cadre de la procédure de sanction. Elle estime que la divulgation de ces mesures dans une décision publique pourrait porter atteinte à la sécurité de son système d’information.
253. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements, ainsi que du nombre de personnes concernées. Elle estime que la publicité permettra notamment d’informer l’ensemble des personnes concernées par les manquements en cause sur la nature de la mesure correctrice prise par la formation restreinte de la Commission à l’encontre de la société. Elle considère toutefois nécessaire que certains développements contenus dans la présente délibération seront occultés.
254. Elle considère en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer à l’encontre de la société FREE MOBILE, une amende administrative d’un montant de 27 000 000 (vingt-sept millions) d’euros au regard des manquements constitués aux articles 5-1-e), 32 et 34 du RGPD ;
- prononcer une injonction, à l’encontre de la société FREE MOBILE de mettre en conformité le traitement avec les dispositions des articles 5-1-e) et 32 du RGPD, et en particulier :
o S’agissant du manquement à l’article 5-1-e) du RGPD, d’implémenter sa politique de durée de conservation des données, dans un délai de six mois, en effectuant :
• une purge au sein de la base de données de la société s’agissant des données des clients des contrats résiliés depuis plus de 10 ans ;
• un tri parmi les données afin de conserver pendant 10 ans uniquement les données strictement nécessaires à des fins comptables ;
o S’agissant du manquement à l’article 32 du RGPD, de mettre en œuvre les mesures techniques et organisationnelles appropriées, dans un délai de trois mois, afin de garantir un niveau de sécurité adapté au risque, notamment :
• […];
• […];
• […];
- assortir l’injonction d’une astreinte de 50 000 (cinquante mille) euros par jour de retard, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans les délais précités ;
- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Philippe-Pierre CABOURDIN
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
- Les développements de la délibération comportant des données à caractère personnel ou des secrets protégés par la loi sont remplacés par le signe […] -
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. KLING, membres,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;
Vu la décision n° 2024-205C du 6 novembre 2024 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 24 juillet 2025 ;
Vu le rapport de M. Tarissan, commissaire rapporteur, notifié à la société le 25 juillet 2025 ;
Vu les observations écrites de la société FREE reçues le 15 septembre 2025 ;
Vu la réponse du rapporteur notifiée à la société FREE le 15 octobre 2025 ;
Vu les observations écrites de la société FREE reçues le 17 novembre 2025 ;
Vu la clôture de l’instruction notifiée à la société FREE le 18 novembre 2025 ;
Vu la demande de huis-clos formulée le 15 septembre 2025 et refusée le 3 décembre 2025 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 15 décembre 2025 ;
Vu la note en délibéré produite par la société le 19 décembre 2025 ;
Vu les autres pièces du dossier,
Étaient présents, lors de la séance de la formation restreinte du 15 décembre 2025 :
- Monsieur Tarissan, commissaire, entendu en son rapport ;
En qualité de représentants de la société FREE :
- […] ;
Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que le mis en cause peut, s’il le souhaite, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte.
La société FREE ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier.
Après en avoir délibéré, a adopté la décision suivante :
I. Faits et procédure
1. Le groupe ILIAD, spécialisé dans les télécommunications en Europe, compte plus de 50,2 millions d’abonnés. La société française ILIAD est la maison mère du groupe du même nom. Elle détient à 100 % la société FREE (ci-après " la société "), qui exerce une activité d’opérateur de téléphonie fixe et comptait, au 31 décembre 2024, environ 7,6 millions d’abonnés fixes. En 2024, le chiffre d’affaires de la société ILIAD était de 10,024 milliards d’euros pour un résultat net de 367 millions d’euros.
2. La société FREE a été alertée le 21 octobre 2024, par un attaquant s’étant introduit dans le système d’information de la société FREE MOBILE, de la compromission de la confidentialité des données des abonnés des deux sociétés. A la suite de cette alerte, la société FREE a conduit des investigations qui ont permis de confirmer la survenance d’une violation de données (ci-après " la violation de données en cause "). Celle-ci a duré du 28 septembre au 22 octobre 2024.
3. Par l’intermédiaire de la société FREE MOBILE, la société FREE a notifié cette violation de données à la Commission nationale de l’informatique et des libertés (ci-après " la Commission " ou " la CNIL "), le 23 octobre 2024, puis a complété cette notification le 5 novembre 2024. Par ailleurs, elle a informé par courriel les personnes concernées de la survenance de la violation de données, de manière échelonnée entre le 24 et le 29 octobre 2024 afin de ne pas saturer les serveurs de messagerie.
4. Au jour de la notification du rapport de sanction, la CNIL avait reçu 2 614 plaintes de personnes concernées par cette violation de données.
5. Par décision n° 2024-205C du 6 novembre 2024, la Présidente de la Commission a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " ou " LIL ") et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le RGPD " ou " le Règlement "), de tout traitement mis en œuvre par les sociétés FREE et FREE MOBILE.
6. En application de cette décision, le 8 novembre 2024, une délégation a procédé à une mission de contrôle sur place dans les locaux des sociétés FREE et FREE MOBILE sis 16 rue de la Ville L’Évêque à Paris (75008).
7. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 17 février 2025, désigné Monsieur Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.
8. Le 24 juillet 2025, la présidente de la Commission a décidé de disjoindre la procédure de sanction initialement intentée à l’égard des deux sociétés afin de les poursuivre dans le cadre de procédures distinctes. Afin de procéder à toutes diligences utiles dans le cadre de la procédure de sanction diligentée à l’encontre de la société FREE, la présidente de la CNIL a désigné Monsieur Fabien TARISSAN en qualité de rapporteur. Les sociétés FREE et FREE MOBILE ont été informées le 24 juillet 2025 être désormais poursuivies chacune dans le cadre de procédures de sanction distinctes.
9. A l’issue de son instruction, le rapporteur a fait notifier le 25 juillet 2025 à la société FREE un rapport détaillant les manquements aux articles 32 et 34 du RGPD qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et une injonction assortie d’une astreinte de mettre en conformité le traitement avec les dispositions de l’article 32 du RGPD. Il proposait également que cette décision soit rendue publique.
10. Le 15 septembre 2025, la société a produit des observations en réponse au rapport de sanction.
11. Le rapporteur a répondu aux observations de la société le 15 octobre 2025.
12. Le 17 novembre 2025, la société a produit ses secondes observations en réponse.
13. Par courrier du 18 novembre 2025, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 susvisé, informé la société et le président de la formation restreinte que l’instruction était close.
14. Par courrier du 18 novembre 2025, la société a été informée que le dossier était inscrit à l’ordre du jour de la séance de la formation restreinte du 4 décembre 2025.
15. Le 18 novembre 2025, la société a, par l’intermédiaire de son conseil, sollicité le report de la séance de la formation restreinte. Le 25 novembre 2025, le président de la formation restreinte a fait droit à cette demande de report et a informé la société de l’inscription du dossier à l’ordre du jour de la séance du 15 décembre 2025.
16. Le 3 décembre 2025, le président de la formation restreinte a refusé la demande de huis-clos formée par la société dans ses observations du 15 septembre 2025. Il a rappelé que la procédure devant la formation restreinte étant écrite et que si la société ne souhaitait pas dévoiler devant des tiers des éléments susceptibles de lui porter préjudice, elle pouvait, lors de la séance, renvoyer à ses observations écrites et annexes.
17. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. La violation de données en cause
18. Il résulte de l’enquête menée par la société FREE, à la suite de l’alerte reçue le 21 octobre 2024, que l’attaquant s’est d’abord connecté au réseau privé virtuel (ci-après " VPN ") de la société FREE MOBILE […].
19. L’attaquant s’est ensuite connecté à l’outil de gestion des abonnés de la société FREE MOBILE […]. Cet outil permet de consulter à la fois les données présentes dans la base de données des abonnés mobiles de la société FREE MOBILE, et dans la base de données des abonnés fixes de la société FREE lorsque les clients sont dits " convergents " (c’est-à-dire dans les cas où un client est un abonné à la fois de la société FREE MOBILE et de la société FREE). L’attaquant a ainsi pu accéder aux données à caractère personnel présentes dans la base de données " fixe " de la société FREE (données liées au contrat FREE, dont l’IBAN).
20. A partir du 6 octobre 2024, l’attaquant a exfiltré, au total, des données relatives à 24 633 469 contrats fixes et mobiles, dont 5 172 577 contrats fixes détenues par la société FREE.
III. Motifs de la décision
A. Sur la responsabilité de traitement de la société FREE
21. Aux termes de l’article 4, alinéa 7, du RGPD, le responsable de traitement est " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ".
22. Dans son rapport, le rapporteur souligne que la délégation a été informée lors du contrôle que, dans le cadre de son activité d’opérateur de téléphonie fixe, la société FREE dispose de sa propre base de données d’abonnés fixes, qu’elle alimente avec les données de ses propres clients (données d’identité, coordonnées, données liées aux contrats, dont l’IBAN) et exploite au moyen de son outil de gestion de clientèle dénommé " SIEBEL ". Les sociétés FREE et FREE MOBILE ont indiqué à la délégation être chacune responsable des traitements liés à la gestion de leur clientèle respective, ce qui correspond à ce qui est inscrit dans leurs registres. Le rapporteur n’a pas remis en cause cette qualification juridique dans le cadre de la présente procédure.
23. La société ne conteste pas être responsable du traitement relatif à la gestion de sa propre clientèle. Elle reproche cependant au rapporteur d’imputer indistinctement des manquements aux sociétés FREE et FREE MOBILE, sur la base des mêmes constats, sans prendre en compte leurs traitements et responsabilités respectifs.