AgentPublic/cnil huggingface dataset:
24. La société ne conteste pas être responsable du traitement relatif à la gestion de sa propre clientèle. Elle reproche cependant au rapporteur d’imputer indistinctement des manquements aux sociétés FREE MOBILE et FREE, sur la base des mêmes constats, sans prendre en compte leurs traitements et responsabilités respectifs.
25. La formation restreinte relève, à titre liminaire, que la violation de données a touché à la fois le système d’information de la société FREE MOBILE et celui de la société FREE, filiales du même groupe. Lors du contrôle de la CNIL au sein des deux sociétés, celles-ci étaient en partie représentées par les mêmes personnes (notamment, le président et le responsable réseau). Il a été constaté que certaines mesures de sécurité étaient communes aux deux sociétés […].
26. A l’issue de son instruction, le rapporteur a considéré, à l’instar des deux sociétés, que chacune d’elles met en œuvre un traitement relatif à la gestion de ses propres abonnés, à l’aide d’outils qui lui sont propres, dont chacune est responsable de traitement. Au regard des éléments du dossier, la formation restreinte partage cette position.
27. La formation restreinte observe que, compte tenu de la responsabilité particulière de chacune des deux sociétés, la présidente de la Commission a décidé, le 24 juillet 2025, d’engager deux procédures de sanction autonomes à l’encontre des sociétés FREE MOBILE et FREE. Ainsi, les deux sociétés répondent chacune des obligations relatives à leur propre système d’information. 
28. La formation restreinte relève que le rapport de sanction à l’encontre de la société FREE MOBILE fait état de manquements reprochés à cette dernière au regard du traitement relatif à la gestion des abonnés mobiles dont elle est seule responsable (ci-après dénommé traitement en cause ). Il appartient à la formation restreinte d’examiner si les manquements allégués sont constitués et imputables à la société FREE MOBILE, conformément au principe de responsabilité personnelle. 
29. La formation restreinte rappelle qu’elle n’entend pas se prononcer sur la survenance de la violation de données en tant que telle mais bien sur le fait de déterminer si, la société a ou non manqué à ses obligations de moyens au titre du RGPD, en qualité de responsable du traitement.
30. Par conséquent, la formation restreinte écarte l’argument de la société, qui considère que des manquements sont indistinctement reprochés par le rapporteur aux sociétés FREE MOBILE et FREE sur la base de mêmes constats, sans prise en compte de leurs responsabilités individuelles respectives.
B. Sur le manquement à l’obligation de conserver les données pour une durée proportionnée à la finalité du traitement en application de l’article 5-1-e) du RGPD
31. Aux termes de l’article 5, paragraphe 1, e) du RGPD, les données à caractère personnel doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées […] .
32. En application de ces dispositions, il incombe au responsable de traitement de définir une durée de conservation conforme à la finalité du traitement. Lorsque cette finalité est atteinte, les données doivent être supprimées ou anonymisées, ou faire l’objet d’un archivage intermédiaire pour une durée déterminée lorsque leur conservation est nécessaire, par exemple pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses notamment.
33. A titre d’illustration, la délibération n° 2021-131 du 23 septembre 2021 portant adoption d’un référentiel relatif aux traitements mis en œuvre aux fins de gestion des activités commerciales recommande à des fins d’obligations comptables une durée de conservation, sous la forme d’archive intermédiaire, de dix ans.
34. Le rapporteur relève, qu’au jour du contrôle, la société n’avait pas mis en place de mesure permettant de trier les données des anciens abonnés qu’elle entendait conserver à des fins comptables durant dix ans. De plus, il souligne qu’une fois cette durée de dix ans atteinte, le mécanisme de purge des données n’était pas complètement opérationnel, de sorte que les données n’étaient jamais supprimées. La société conservait donc des données à caractère personnel de millions d’anciens abonnés pendant une durée excessive, ce qui constitue un manquement à l’article 5-1-e) du RGPD. 
35. En défense, la société précise sa politique de durées de conservation des données. 
36. Elle indique qu’afin de fournir ses produits et services, elle conserve les données à caractère personnel de ses abonnés pendant toute la durée du contrat. Elle précise que le terme contrat renvoie à la fois au contrat principal et aux contrats accessoires (par exemple, une ligne secondaire, la location de terminal mobile). Dès lors, elle conserve les données à caractère personnel de ses abonnés tant qu’un contrat (principal ou accessoire), dont ils sont titulaires, est en cours. Elle estime ainsi justifier la conservation des données de ses abonnés, qui ont résilié leur contrat principal, mais bénéficient toujours d’un contrat accessoire. Par exemple, les données d’identification, de facturation et de paiement restent nécessaires pour la gestion d’une location de terminal.
37. Par ailleurs, la société reconnaît avoir commis une erreur de déclaration lors du contrôle s’agissant de la durée de conservation des données à des fins de lutte contre la fraude. Elle précise conserver, à l’expiration du contrat, les données à caractère personnel de ses anciens abonnés pendant cinq ans, et non pas dix ans, à des fins de lutte contre la fraude. 
38. En outre, elle indique conserver les données de ses abonnés pendant dix ans pour s’acquitter d’obligations comptables. La société soutient être tenue de conserver au titre des données de facturation, les données d’identification de l’abonné (nom, prénom, adresse), son identifiant client, le type d’offre souscrite, son IBAN et l’historique de ses règlements. Elle précise avoir lancé un projet afin de conserver uniquement les factures en format PDF, ce qui lui créera des difficultés techniques dans son système d’information pour faire le lien entre une facture, un paiement et l’abonné concerné.
39. La société reconnaît qu’au jour du contrôle son mécanisme de purge des données n’était pas pleinement opérationnel, ce qu’elle justifie par des contraintes techniques. Elle ajoute qu’alors qu’elle a débuté son activité en 2012, la question de la suppression des données ne s’est posée que très récemment. Par ailleurs, l’architecture de son système d’information s’accorde difficilement avec des opérations de purge à grande échelle, compte tenu du risque de blocage des services métiers. Elle précise avoir débuté ce projet en 2023 afin de supprimer progressivement les données par lots (un premier lot en cours au jour du contrôle concernant les factures, suivi d’un second lot concernant les données des anciens abonnés qui devait être finalisé d’ici la fin d’année 2025). Elle soutient avoir conservé, au jour du contrôle, un nombre résiduel de données pendant une durée supérieure à dix ans et fait valoir avoir, au cours de la procédure, procédé à une purge manuelle de celles-ci. 
40. Enfin, la société soutient que l’attaquant n’a pas accédé à des données à caractère personnel conservées pendant une durée excessive par la société dès lors que le compte usurpé ne permettait d’accéder qu’aux contrats en cours et à ceux résiliés depuis moins d’un an.
41. La formation restreinte relève que, si la politique de confidentialité de la société définit des durées de conservation différenciées en fonction des finalités poursuivies (notamment obligations comptables et lutte contre la fraude), les constatations réalisées au sein de la base de données de la société, associées aux déclarations de la société, démontrent l’absence de mise en œuvre effective de ces durées de conservation. 
42. En effet, compte tenu du déploiement d’un mécanisme de purge qui n’était pas achevé au jour du contrôle, les données contenues dans la base de données de la société liées aux factures et aux abonnements résiliés étaient potentiellement conservées indéfiniment sans qu’aucune distinction ne soit faite en fonction des finalités poursuivies. La délégation de contrôle a ainsi constaté la présence de données (identifiant du compte, civilité, prénom, nom, adresse électronique et données contractuelles) relatives à plus de quinze millions de contrats résiliés depuis plus de cinq ans, dont trois millions depuis plus de dix ans.
43. Parmi ces trois millions de contrats pour lesquels les données étaient conservées depuis plus de dix ans, la société n’en justifie la conservation que pour 254 809 par l’existence d’autres contrats en cours d’exécution. Pour les 2 806 690 autres contrats, la société reconnait leur conservation pendant une durée excessive, qu’elle explique par des difficultés techniques liées à son mécanisme de purge alors en cours de déploiement.
44. La formation restreinte considère que ces difficultés ou défaillances techniques n’exonèrent pas la société de sa responsabilité de s’assurer du tri ou de la suppression des données aux échéances de leurs durées de conservation telles qu’elle les a elle-même définies. 
45. La formation restreinte note que la société a indiqué, au cours de la procédure, avoir supprimé les données conservées depuis plus de dix ans à compter de la fin de la relation contractuelle, sans justification, à l’exception d’un reliquat de données relatives à 16 238 comptes, compte tenu de contraintes techniques. La société a indiqué que celui-ci sera supprimé d’ici la fin 2025.
46. Dès lors, la formation restreinte estime que la société a conservé, au jour du contrôle, des millions de données pendant une durée supérieure à dix ans, sans justification, ce qui est manifestement excessif.
47. S’agissant des données des contrats conservées pendant plus de cinq ans après la résiliation du contrat, la formation restreinte rappelle que la conservation de données au-delà de cette durée peut être justifiée pour une autre finalité que celle mentionnée par la société de lutte contre la fraude. 
48. En effet, elle relève que la conservation de certaines données pendant une durée supérieure à cinq ans suivant la résiliation du contrat peut être justifiée par le respect de l’article L.123-22 du code de commerce, qui prévoit une obligation de conserver les données de facturation à des fins comptables pendant dix ans. 
49. A l’issue des cinq années suivant la fin de la relation contractuelle, la société est dès lors tenue d’effectuer un tri, parmi toutes les données, afin de s’assurer de ne conserver que celles qui lui sont nécessaires à des fins comptables.
50. La formation restreinte note que la société a réalisé ce tri au cours de la procédure de sanction. Elle a décidé de conserver, pendant une durée supérieure à cinq ans suivant la résiliation du contrat, uniquement les factures au format PDF. La formation restreinte rappelle que la société n’est pas tenue de conserver les données de facturation uniquement en format PDF et peut les conserver, en format brut , dans sa base de données. Par ailleurs, la formation restreinte note que les données qui peuvent être conservées au titre de la facturation sont énumérées dans l’annexe de l’arrêté du 31 décembre 2013 relatif aux factures des services de communications électroniques et à l'information du consommateur sur la consommation au sein de son offre, et relève que celle-ci ne vise notamment pas les IBAN, de sorte que le tri réalisé en cours de procédure par la société, qui inclut notamment l’IBAN comme une donnée à conserver, sans pour autant en avoir démontré l’utilité, n’est pas conforme au cadre réglementaire. 
51. Ainsi, la formation restreinte considère, qu’au jour du contrôle, en conservant l’intégralité des données de ses anciens abonnés pendant plus de cinq ans après la résiliation du contrat, sans réaliser de tri pour s’assurer de ne conserver, pendant une durée plus longue, que celles qui étaient nécessaires à des fins de facturation, la société a conservé des données pendant une durée excessive.
52. Il résulte de ce qui précède que la formation restreinte considère qu’en conservant des données pendant des durées excessives la société a commis un manquement à l’article 5-1-e) du RGPD.
53. La formation restreinte note que la société a pris des mesures en cours de procédure, afin de supprimer certaines données à caractère personnel conservées pendant une durée excessive. Cependant, au jour de la séance, elle relève que la société ne démontre pas avoir procédé à la suppression des données relatives à 16 238 comptes résiliés depuis plus de dix ans. La société précise avoir prévu de lancer une purge en décembre 2025 afin de supprimer ces données. Par ailleurs, la société ne justifie pas, au jour de la séance, de la suppression des données qui ne lui sont pas strictement nécessaires à des fins comptables et qu’elle conservait, au jour du contrôle, pendant plus de cinq ans. La société précise que des mesures de mise en conformité sont en cours de déploiement et seront finalisées en juin 2026. 
C. Sur le manquement à l’obligation d’assurer la sécurité des données en application de l’article 32 du RGPD
54. L’article 32, paragraphe 1, du RGPD dispose que compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque y compris entre autres, selon les besoins : 
a) la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement […] .
57. Par ailleurs, la société considère, compte tenu de l’absence de caractère prescriptif de l’article 32 du RGPD et de valeur contraignante des guides et recommandations de la CNIL et de l’ANSSI, que la formation restreinte ne peut pas caractériser un manquement à l’article 32 du RGPD sur le fondement d’instrument de droit souple sans violer le principe de légalité des délits et des peines, qui exige que la règle méconnue soit suffisamment claire et prévisible dans son application. Elle ajoute ne pas avoir pu bénéficier de précédents qui lui auraient permis d’apprécier la nature des mesures qui était attendues en ce qu’elle serait le premier organisme, victime d’un acte de malveillance extérieur, visé par une procédure de sanction de la CNIL sur le fondement de l’article 32 du RGPD. 
58. En premier lieu, la formation restreinte rappelle que l’obligation de sécurité prévue par l’article 32 du RGPD est effectivement une obligation de moyens, qui impose au responsable du traitement de prendre des mesures qui, au regard des caractéristiques du traitement en cause, permettent à la fois de réduire la probabilité de la survenance d’une violation de données et le cas échéant, d’en atténuer la gravité. Il n’est donc pas attendu que les mesures de sécurité permettent d’éliminer toute forme de risque, et la simple survenance d’une violation de données ne caractérise pas à elle seule un manquement à l’article 32 du RGPD.
60. La CJUE a rappelé plus récemment que cette interprétation littérale est corroborée par une lecture combinée desdits articles 24 et 32 avec l’article 5, paragraphe 2, et l’article 82 dudit règlement, lus à la lumière des considérants 74, 76 et 83 de celui ci, dont il découle, en particulier, que le responsable du traitement est tenu d’atténuer les risques de violation des données à caractère personnel, et non d’empêcher toute violation de celles-ci (25 janvier 2024, C-687/21, point 39). 
61. Dès lors, un manquement à l’obligation de sécurité peut être caractérisé indifféremment de l’existence d’une violation de données à caractère personnel.
65. En second lieu, la formation restreinte relève que le principe de légalité des délits et des peines, rappelé par le Conseil constitutionnel en matière de sanction administrative (n° 88 - 248 DC, 17 janvier 1989), exige que les obligations et sanctions en cas de manquement aient été définis à l’avance. 
66. Le Conseil d’État a précisé la portée de ce principe, qui implique que les éléments constitutifs des infractions soient définis de façon précise et complète (CE, 9 octobre 1996, Société Prigest, n° 170363, T. ; CE, Section, 12 octobre 2009, M. P., n° 311641, Rec.). En matière de sanctions administratives, la jurisprudence considère que l’exigence d'une définition des infractions sanctionnées se trouve satisfaite […] dès lors que les textes applicables font référence aux obligations auxquelles les intéressés sont soumis en raison de l'activité qu'ils exercent, de la profession à laquelle ils appartiennent, de l'institution dont ils relèvent ou de leur qualité et qu’une sanction peut être prononcé s’il est raisonnablement prévisible par les personnes concernées et en tenant compte de leur qualité et des responsabilités qu'elles exercent, que le comportement litigieux constitue un manquement à ces obligations (CE, 3 octobre 2018, SFCM, n° 411050, Rec.).
67. En l’espèce, la formation restreinte relève que, dans le cadre de ses écritures, le rapporteur s’attache notamment à caractériser la commission par la société d’un manquement aux obligations prévues à l’article 32 du RGPD, telles qu’éclairées par de nombreuses recommandations de la CNIL et de l’ANSSI, qui sont publiques et antérieures aux faits reprochés. 
68. La formation restreinte rappelle que, si les recommandations de la Commission et de l’ANSSI n’ont certes pas de caractère impératif, elles précisent et illustrent les dispositions législatives et réglementaires applicables et éclairent les acteurs sur les mesures concrètes et conformes à l’état de l’art à mettre en œuvre. 
69. Si c’est au seul regard des obligations prévues par l’article 32 du RGPD qu’un responsable de traitement peut être sanctionné, le Conseil d’Etat a néanmoins confirmé à plusieurs reprises que la formation restreinte de la CNIL pouvait retenir un manquement à l’article 32 du RGPD, caractérisé à la lumière de ses propres recommandations (CE, 11 mars 2015, Société Total Raffinage Marketing, n° 368748, n° 368819, pt 4 ; CE, 30 avril 2024, Commune de Beaucaire, n° 472864, pt 11).
70. Par conséquent, la formation restreinte relève que la société occupe une place significative dans le secteur des télécommunications en France et traite à ce titre les données de millions d’abonnés, et considère qu’elle dispose de moyens matériels, humains et techniques lui permettant d’assurer sa mise en conformité, d’adapter le cas échéant ses pratiques afin de respecter ses obligations au titre de l’article 32 du RGPD, telles qu’éclairées par les différentes recommandations de la CNIL et de l’ANSSI en matière de sécurité, qui existent depuis de nombreuses années. 
71. Il résulte de ce qui précède que, dès lors que les éléments constitutifs du manquement à l’article 32 du RGPD reproché à la société sont définis de façon précise et complète, il ne peut être valablement soutenu que le prononcé d’une sanction méconnaîtrait le principe de légalité des délits et des peines. 
72. La formation restreinte écarte donc le grief tiré de la méconnaissance du principe de légalité des délits et des peines.
2. Sur les risques du traitement pour les personnes concernées
73. Le rapporteur rappelle que la société doit assurer un niveau de sécurité, à l’égard des données à caractère personnel qu’elle traite, qui s’apprécie au regard des risques liés à la divulgation et à l’accès non autorisé de celles-ci, compte tenu des conséquences que pourrait avoir la survenance de tels risques pour les personnes concernées. En l’espèce, il souligne le caractère massif du traitement (données d’environ 15,5 millions d’abonnés mobiles et certaines données détenues par la société FREE en cas de clients convergents ), ainsi que le caractère hautement personnel de certaines données (données bancaires), ce qui présente de forts risques pour les personnes concernées en cas d’atteinte à la confidentialité de ces données (usurpation de leur identité, tentative d’hameçonnage et exploitation frauduleuse de leurs coordonnées bancaires). 
 
74. La société estime que le traitement qu’elle met en œuvre ne présente pas de risque élevé pour les personnes concernées en l’absence de données sensibles au sens de l’article 9 du RGPD. 
75. Par ailleurs, elle soutient que la compromission des IBAN n’entraîne pas de risque particulier dès lors qu’un IBAN seul ne permet pas de réaliser un prélèvement frauduleux et que les établissements bancaires ont mis en place des mécanismes pour l’éviter (nécessité d’obtenir la signature d’un mandat SEPA avant tout prélèvement, délai de contestation et remboursement en cas de fraude).
84. En ce sens, la formation restreinte observe qu’un certain nombre de plaignants ont fait état auprès de la Commission d’utilisations frauduleuses de leurs données à la suite de la violation de données en cause, notamment des tentatives d’hameçonnage. S’il n’est pas possible de déterminer avec certitude que les fraudeurs ont obtenu les données des plaignants par la violation de données en cause, et non par celle subie par un tiers disposant des mêmes données, il est constant que la perte de confidentialité des données traitées par FREE MOBILE a participé à l’augmentation du volume de données disponibles pour les attaquants potentiels. L’existence d’autres violations de données n’est en tout état de cause pas de nature à décharger la société de son obligation de mettre en œuvre les mesures de sécurité adaptées au risque de compromission des données qu’elle traite. 
85. La formation restreinte considère que les mesures de sécurité mises en place par la société FREE MOBILE auraient dû permettre de répondre aux risques qui viennent d’être exposés. 
3. Sur le niveau de sécurité déployé par la société
86. L’ANSSI applique le principe de défense en profondeur aux systèmes d’information, qui consiste à ne pas faire reposer la sécurité sur un élément mais sur un ensemble cohérent. Cela signifie donc qu’il ne doit en théorie pas exister de point sur lequel tout l’édifice repose , c’est-à-dire que toute faille de sécurité potentielle d’un composant logiciel doit être compensée par au moins un second niveau de sécurité (voir le Memento sur le concept de défense en profondeur appliquée aux systèmes d’information, version 1.1 du 19 juillet 2004). L’ANSSI fait reposer ce concept sur le postulat que tout composant d’un système peut être défaillant ou compromis. Ce postulat, qui s’applique également aux fonctions de sécurité d’un SI [système d’information], est confirmé régulièrement par l’actualité sur les vulnérabilités de nombreux produits et logiciels (voir la note blanche Système d'information hybride et sécurité : un retour à la réalité, 10 août 2021). 
En l’espèce, la formation restreinte va devoir analyser si la société a mis en place un ensemble cohérent de mesures de sécurité pour protéger son système d’information. 
3.1 Sur les vulnérabilités ayant conduit ou facilité la survenance de la violation de données en cause
3.1.1 Sur l’absence de sécurisation du canal d’interconnexion