AgentPublic/cnil huggingface dataset:
65. En second lieu, la formation restreinte relève que le principe de légalité des délits et des peines, rappelé par le Conseil constitutionnel en matière de sanction administrative (n° 88 - 248 DC, 17 janvier 1989), exige que les obligations et sanctions en cas de manquement aient été définis à l’avance.
66. Le Conseil d’État a précisé la portée de ce principe, qui implique que les éléments constitutifs des infractions soient définis de façon précise et complète (CE, 9 octobre 1996, Société Prigest, n° 170363, T. ; CE, Section, 12 octobre 2009, M. P., n° 311641, Rec.). En matière de sanctions administratives, la jurisprudence considère que l’exigence d'une définition des infractions sanctionnées se trouve satisfaite […] dès lors que les textes applicables font référence aux obligations auxquelles les intéressés sont soumis en raison de l'activité qu'ils exercent, de la profession à laquelle ils appartiennent, de l'institution dont ils relèvent ou de leur qualité et qu’une sanction peut être prononcé s’il est raisonnablement prévisible par les personnes concernées et en tenant compte de leur qualité et des responsabilités qu'elles exercent, que le comportement litigieux constitue un manquement à ces obligations (CE, 3 octobre 2018, SFCM, n° 411050, Rec.).
67. En l’espèce, la formation restreinte relève que, dans le cadre de ses écritures, le rapporteur s’attache notamment à caractériser la commission par la société d’un manquement aux obligations prévues à l’article 32 du RGPD, telles qu’éclairées par de nombreuses recommandations de la CNIL et de l’ANSSI, qui sont publiques et antérieures aux faits reprochés.
68. La formation restreinte rappelle que, si les recommandations de la Commission et de l’ANSSI n’ont certes pas de caractère impératif, elles précisent et illustrent les dispositions législatives et réglementaires applicables et éclairent les acteurs sur les mesures concrètes et conformes à l’état de l’art à mettre en œuvre.
69. Si c’est au seul regard des obligations prévues par l’article 32 du RGPD qu’un responsable de traitement peut être sanctionné, le Conseil d’Etat a néanmoins confirmé à plusieurs reprises que la formation restreinte de la CNIL pouvait retenir un manquement à l’article 32 du RGPD, caractérisé à la lumière de ses propres recommandations (CE, 11 mars 2015, Société Total Raffinage Marketing, n° 368748, n° 368819, pt 4 ; CE, 30 avril 2024, Commune de Beaucaire, n° 472864, pt 11).
70. Par conséquent, la formation restreinte relève que la société occupe une place significative dans le secteur des télécommunications en France et traite à ce titre les données de millions d’abonnés, et considère qu’elle dispose de moyens matériels, humains et techniques lui permettant d’assurer sa mise en conformité, d’adapter le cas échéant ses pratiques afin de respecter ses obligations au titre de l’article 32 du RGPD, telles qu’éclairées par les différentes recommandations de la CNIL et de l’ANSSI en matière de sécurité, qui existent depuis de nombreuses années.
71. Il résulte de ce qui précède que, dès lors que les éléments constitutifs du manquement à l’article 32 du RGPD reproché à la société sont définis de façon précise et complète, il ne peut être valablement soutenu que le prononcé d’une sanction méconnaîtrait le principe de légalité des délits et des peines.
72. La formation restreinte écarte donc le grief tiré de la méconnaissance du principe de légalité des délits et des peines.
2. Sur les risques du traitement pour les personnes concernées
73. Le rapporteur rappelle que la société doit assurer un niveau de sécurité, à l’égard des données à caractère personnel qu’elle traite, qui s’apprécie au regard des risques liés à la divulgation et à l’accès non autorisé de celles-ci, compte tenu des conséquences que pourrait avoir la survenance de tels risques pour les personnes concernées. En l’espèce, il souligne le caractère massif du traitement (données d’environ 15,5 millions d’abonnés mobiles et certaines données détenues par la société FREE en cas de clients convergents ), ainsi que le caractère hautement personnel de certaines données (données bancaires), ce qui présente de forts risques pour les personnes concernées en cas d’atteinte à la confidentialité de ces données (usurpation de leur identité, tentative d’hameçonnage et exploitation frauduleuse de leurs coordonnées bancaires).
74. La société estime que le traitement qu’elle met en œuvre ne présente pas de risque élevé pour les personnes concernées en l’absence de données sensibles au sens de l’article 9 du RGPD.
75. Par ailleurs, elle soutient que la compromission des IBAN n’entraîne pas de risque particulier dès lors qu’un IBAN seul ne permet pas de réaliser un prélèvement frauduleux et que les établissements bancaires ont mis en place des mécanismes pour l’éviter (nécessité d’obtenir la signature d’un mandat SEPA avant tout prélèvement, délai de contestation et remboursement en cas de fraude).
76. En outre, la société estime que la recrudescence de violations de données ne permet pas d’imputer le préjudice allégué par certains plaignants (hameçonnage, etc.) à l’attaque dont elle a été victime, qui n’a dans ce contexte pas créé de risque supplémentaire pour les personnes concernées.
77. La formation restreinte rappelle que le considérant 75 du RGPD vise des risques pour les droits et libertés des personnes physiques, dont le degré de probabilité et de gravité varie, peuvent résulter du traitement de données à caractère personnel qui est susceptible d'entraîner des dommages physiques, matériels ou un préjudice moral, en particulier: lorsque le traitement peut donner lieu […] à un vol ou une usurpation d'identité, à une perte financière, […] ou lorsque le traitement porte sur un volume important de données à caractère personnel et touche un nombre important de personnes concernées .
78. La formation restreinte relève qu’aux termes du considérant 76 du RGPD il convient de déterminer la probabilité et la gravité du risque pour les droits et libertés de la personne concernée en fonction de la nature, de la portée, du contexte et des finalités du traitement. Le risque devrait faire l'objet d'une évaluation objective permettant de déterminer si les opérations de traitement des données comportent un risque ou un risque élevé .
79. Par ailleurs, le considérant 83 du RGPD précise que dans le cadre de l'évaluation des risques pour la sécurité des données, il convient de prendre en compte les risques que présente le traitement de données à caractère personnel, tels que la destruction, la perte ou l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière ou l'accès non autorisé à de telles données, de manière accidentelle ou illicite, qui sont susceptibles d'entraîner des dommages physiques, matériels ou un préjudice moral .
80. En l’espèce, le traitement relatif à la gestion des abonnés au moyen de l’outil MOBO permet à la société d’accéder aux données de chacun de ses abonnés contenus dans sa propre base de données mobile, mais également d’accéder, en cas de clients convergents (clients à la fois de la société FREE MOBILE et de la société FREE), aux données contenues dans la base de données des abonnés fixes de la société FREE, notamment l’IBAN. Au jour de la violation de données, l’outil métier de la société FREE MOBILE permettait, lorsqu’un salarié réalisait une recherche, de renvoyer l’entièreté de l’IBAN des clients convergents présents dans la base de données fixe de la société FREE, compte tenu d’une anomalie technique survenue lors d’une mise à jour de cet outil, corrigée après la prise de connaissance de la violation de données par la société FREE MOBILE.
81. Au 31 décembre 2024, la société FREE MOBILE comptait environ 15,5 millions d’abonnés mobiles et la société FREE environ 7,6 millions d’abonnés fixes.
82. La formation restreinte considère que l’accès non autorisé ou la divulgation des données traitées par la société est de nature à créer un préjudice moral et matériel pour les personnes concernées. En effet, comme relevé par la société dans le cadre de ses notifications auprès de la CNIL, celles-ci sont exposées à des risques liés à la revente de leurs données à des personnes malveillantes, une usurpation de leur identité, des tentatives d’hameçonnage (pratique consistant, pour une personne malveillante, à se faire passer pour un organisme connu de la personne concernée afin par exemple de lui demander ses coordonnées bancaires). La formation restreinte relève que le rapporteur démontre, dans ses écritures, l’existence d’un risque de paiements frauduleux au moyen d'un IBAN usurpé. En effet, une personne mal intentionnée, disposant d’un IBAN usurpé, peut procéder à un paiement frauduleux sur un site web qui propose de valider le mandat de prélèvement SEPA par l’intermédiaire d’une simple case à cocher.
83. Par ailleurs, la formation restreinte considère que le degré de probabilité que les risques de divulgation et d’accès non autorisé aux données traitées par la société se réalisent est élevé, précisément compte tenu de la recrudescence des violations de données depuis plusieurs années, rappelée par la société elle-même. En outre, le degré de probabilité que les risques liés à l’exploitation malveillante de ces données (usurpation d’identité, tentatives d’hameçonnage, prélèvement frauduleux) se réalisent en cas de perte de confidentialité est également élevé. Comme rappelé par le Groupement d’Intérêt Public Action contre la Cybermalveillance, l’hameçonnage est la menace prédominante en France (Cybermalveillance.gouv.fr dévoile les tendances de la menace cyber en France , 27 mars 2025).
84. En ce sens, la formation restreinte observe qu’un certain nombre de plaignants ont fait état auprès de la Commission d’utilisations frauduleuses de leurs données à la suite de la violation de données en cause, notamment des tentatives d’hameçonnage. S’il n’est pas possible de déterminer avec certitude que les fraudeurs ont obtenu les données des plaignants par la violation de données en cause, et non par celle subie par un tiers disposant des mêmes données, il est constant que la perte de confidentialité des données traitées par FREE MOBILE a participé à l’augmentation du volume de données disponibles pour les attaquants potentiels. L’existence d’autres violations de données n’est en tout état de cause pas de nature à décharger la société de son obligation de mettre en œuvre les mesures de sécurité adaptées au risque de compromission des données qu’elle traite.
85. La formation restreinte considère que les mesures de sécurité mises en place par la société FREE MOBILE auraient dû permettre de répondre aux risques qui viennent d’être exposés.
3. Sur le niveau de sécurité déployé par la société
86. L’ANSSI applique le principe de défense en profondeur aux systèmes d’information, qui consiste à ne pas faire reposer la sécurité sur un élément mais sur un ensemble cohérent. Cela signifie donc qu’il ne doit en théorie pas exister de point sur lequel tout l’édifice repose , c’est-à-dire que toute faille de sécurité potentielle d’un composant logiciel doit être compensée par au moins un second niveau de sécurité (voir le Memento sur le concept de défense en profondeur appliquée aux systèmes d’information, version 1.1 du 19 juillet 2004). L’ANSSI fait reposer ce concept sur le postulat que tout composant d’un système peut être défaillant ou compromis. Ce postulat, qui s’applique également aux fonctions de sécurité d’un SI [système d’information], est confirmé régulièrement par l’actualité sur les vulnérabilités de nombreux produits et logiciels (voir la note blanche Système d'information hybride et sécurité : un retour à la réalité, 10 août 2021).
En l’espèce, la formation restreinte va devoir analyser si la société a mis en place un ensemble cohérent de mesures de sécurité pour protéger son système d’information.
3.1 Sur les vulnérabilités ayant conduit ou facilité la survenance de la violation de données en cause
3.1.1 Sur l’absence de sécurisation du canal d’interconnexion
87. Dans un contexte numérique, il est possible pour un salarié de se connecter à distance (par exemple, depuis son domicile) au système d’information de sa société au moyen de son ordinateur portable. Il s’agit de nomadisme numérique.
88. L’ANSSI définit le nomadisme numérique comme toute forme d’utilisation des technologies de l’information permettant à un utilisateur d’accéder au SI [système d’information] de son entité d’appartenance ou d’emploi, depuis des lieux distants, ces lieux n’étant pas maîtrisés par l’entité (ANSSI, Recommandations sur le nomadisme numérique , 2018).
89. Elle relève, dans ses recommandations susvisées, que les lieux de travail non maîtrisés par une entité exposent celle-ci à des risques exacerbés de perte ou de vol de matériel, de compromission du matériel (par exemple, pendant une absence temporaire de l’utilisateur), de compromission des informations contenues dans le matériel volé, perdu ou emprunté, d’accès illégitime au système d’information de la société (et donc la compromission de celui-ci), et d’interception, voire d’altération des informations (perte de confidentialité ou d’intégrité).
90. Ainsi, l’ANSSI souligne que dans le cadre du nomadisme, l’objectif est de réussir à s’aligner avec le niveau de sécurité du SI [système d’information] interne de l’entité, en répondant aux risques d’exposition plus forts listés ci-dessus .
91. Elle considère que les entités doivent adopter des mesures spécifiques au nomadisme dans leurs politiques de sécurité du système d’information afin de réduire ou de couvrir les risques susvisés.
92. Elle précise qu’afin de permettre à un utilisateur d’accéder depuis un réseau non maitrisé à un système d’information interne, il est nécessaire de mettre en œuvre un canal qui établit un lien sécurisé entre le poste nomade et le système d’information interne de l’entité, au moyen de la technologie VPN (Virtual Private Network ou réseau privé virtuel).
93. L’ANSSI rappelle qu’ en fonction des moyens d’authentification mis en œuvre sur le poste nomade, un attaquant peut tenter d’usurper l’identité de l’utilisateur ou celle du poste nomade . Dès lors, il est important d’utiliser des mécanismes robustes […] d’authentification […] pour la mise en place du canal d’interconnexion d’un poste nomade .
94. En situation de nomadisme, l’ANSSI estime que trois niveaux d’authentification doivent être considérés :
- authentification de l’utilisateur sur le poste nomade ;
- authentification du poste nomade sur le SI [système d’information] ;
- authentification de l’utilisateur sur le SI [système d’information] .
95. S’agissant plus spécifiquement de l’authentification du poste nomade sur le système d’information de l’entité, l’ANSSI rappelle que l’objectif est de garantir que le poste utilisé pour accéder au système d’information est un équipement maîtrisé par l’entité afin de réduire les risques qui résulteraient de l’utilisation de postes nomades non maîtrisés et dont le niveau de sécurité ne serait pas conforme à la politique de sécurité de l’entité. Elle recommande d’authentifier le poste nomade sur le SI [système d’information] au moyen d’un certificat machine [c’est-à-dire d’un certificat lié au poste nomade et non pas à l’utilisateur du poste nomade] et de protéger la clé privée de ce certificat en intégrité et en confidentialité, afin de s’assurer qu’elle ne puisse être accédée ni par l’utilisateur nomade ni par un attaquant .
96. Dès lors, l’ANSSI recommande depuis 2018 d’authentifier le poste nomade d’un utilisateur sur un système d’information au moyen d’un certificat machine, qui est lié au poste nomade et non pas à l’utilisateur de celui-ci.
97. Dans son Guide de la sécurité des données personnelles de mars 2024, la CNIL recommande également de privilégier l’authentification multi facteur lorsque cela est possible, en particulier lorsque la connexion est accessible depuis l’extérieur du réseau de l’organisme .
98. Il résulte de ce qui précède que tant l’ANSSI que la CNIL recommandent d’authentifier un utilisateur sur un système d’information en mettant en œuvre une authentification multi facteur forte, notamment lorsque la connexion au système d’information de l’entité est accessible depuis l’extérieur de son réseau.
99. Le rapporteur reproche à la société de ne pas avoir mis en place des mesures de sécurité appropriées pour sécuriser l’accès par les utilisateurs au VPN de la société, à savoir une authentification des postes nomades et une authentification multi facteur des utilisateurs. Il considère que ces vulnérabilités constituent un manquement à l’article 32 du RGPD et ont rendu possible ou a minima facilité la survenance de la violation de millions de données à caractère personnel d’abonnés de la société entre le 28 septembre et le 22 octobre 2024. Il note que la société a entamé le déploiement de ces mesures au cours de la procédure de sanction afin de se mettre en conformité.
100. En défense, la société soutient avoir mis en place, au jour du contrôle, des mesures de sécurité suffisamment robustes s’agissant de l’authentification des utilisateurs et de leurs postes lors de leur connexion à son VPN.
101. […].
102. […].
103. […].
104. […].
105. […].
106. A titre liminaire, la formation restreinte rappelle que dans le contexte de nomadisme numérique, il revient au responsable de traitement de déployer des mesures permettant de garantir que, tant la personne qui se connecte, que la machine qu’elle utilise, bénéficient des autorisations nécessaires pour se connecter aux ressources internes. Ces mesures s’ajoutent à celles qui doivent exister lorsqu’une personne est déjà authentifiée sur le réseau, telles que des mécanismes d’authentification robustes lors de l’accès à des outils.
107. […].
108. La formation restreinte rappelle que la connexion au VPN d’une entité par des postes qui n’appartiennent pas à son parc informatique présente un risque pour son système d’information dès lors qu’elle ne maîtrise pas les mesures de sécurité mises en œuvre sur ces équipements, qui peuvent donc ne pas correspondre au niveau de sécurité défini dans sa politique interne.
109. […].
110. […].
111. […].
112. […].
113. […].
114. […].
115. […].
116. […].
117. […].
118. […].
3.1.2 Sur l’absence de détection des comportements anormaux
119. Dans sa délibération n° 2021-122 du 14 octobre 202 portant adoption d'une recommandation relative à la journalisation, la CNIL rappelle que la mise en place d’un dispositif de journalisation participe au respect de l’obligation de sécurisation de tout traitement de données à caractère personnel, en application des articles 5 et 32 du RGPD .
120. Ainsi, elle recommande aux organismes de collecter des informations sur les personnes administrant ou accédant à leurs ressources, comme l’identifiant de l’utilisateur, la date et l’heure de l’accès et l’identifiant de l’équipement utilisé (CNIL, La CNIL publie une recommandation relative aux mesures de journalisation , 18 novembre 2021).
121. La CNIL rappelle dans sa recommandation susvisée que cette sécurisation est essentiellement active : elle repose sur une exploitation en temps réel ou à court terme de ces données pour détecter des opérations anormales afin de parer des attaques ou intrusions, ou de remédier rapidement à un incident informatique en facilitant l’identification du problème .
122. L’ANSSI rappelle également dans ses Recommandations de sécurité pour l'architecture d'un système de journalisation du 28 janvier 2022, que l’analyse continue des journaux d’évènements permet de repérer des activités inhabituelles, tandis que l’archivage des journaux rend possible les levées de doutes a posteriori. En ce sens, la journalisation constitue également le prérequis indispensable à la mise en œuvre d’une capacité de détection, d’analyse et de réponse aux incidents de sécurité .
123. Autrement dit, la simple collecte des données de journalisation ne suffit pas à sécuriser un système d’information. Le dispositif de journalisation n’est efficace que si une entité est en capacité de traiter les informations enregistrées dans les journaux afin d’être en mesure, le cas échéant, de détecter rapidement un comportement suspect.
124. La Commission recommande donc, dans sa recommandation susvisée, de mettre en œuvre un système de traitement et d’analyse des données collectées et de formaliser un processus permettant de générer des alertes et de les traiter en cas de suspicion de comportement anormal. Ces données peuvent également servir ex post lorsqu’une violation de données (notamment par consultation, transmission ou usage illégaux des données) est constatée et que le responsable de traitement cherche à en établir la responsabilité .
125. Le Comité européen de la protection des données considère également dans ses lignes directrices 9/2022 sur la notification de violations de données à caractère personnel en vertu du RGPD, que la capacité de détecter une violation, d’y remédier et de la communiquer dans les meilleurs délais devrait être considérée comme un élément essentiel .
126. Le rapporteur considère, qu’au jour du contrôle, les mesures de sécurité mises en œuvre par la société pour détecter une activité suspecte sur son VPN, son réseau interne et son outil de gestion de clientèle MOBO étaient insuffisantes, ce qui a rendu possible, ou a minima facilité, la perte de confidentialité de millions de données à caractère personnel d’abonnés de la société entre le 28 septembre et le 22 octobre 2024. Il note que la société s’est toutefois mise en conformité sur ce point au cours de la procédure.
127. En premier lieu, la société soutient, s’agissant des moyens de détection des connexions frauduleuses à son VPN, avoir déployé des mesures suffisamment robustes au jour du contrôle.
128. Elle indique qu’elle recourait déjà à la solution de scoring […] proposée par un prestataire externe. Il s’agit d’une solution de prévention de la fraude, d’analyse des risques et de détection des menaces. Elle produit des indicateurs pour chacune des connexions à son VPN, à partir de plusieurs critères (par exemple, la localisation de l’adresse IP, ou le fait que l’utilisateur se connecte au VPN de la société via un VPN tiers) et attribue notamment un score de fraude entre 0 et 100 afin d’évaluer son niveau de risque (de faible à maximal). La société exploite les indicateurs générés par la solution […] afin de décider d’autoriser ou de refuser des connexions à son VPN.
129. La société indique, qu’à l’issue du contrôle, elle a déployé un centre opérationnel de sécurité qui assure une surveillance continue notamment des connexions à son VPN et mis en place une équipe interne dédiée aux réponses aux incidents de sécurité informatique.
130. En deuxième lieu, s’agissant des moyens de détection des comportements suspects sur son réseau interne, la société indique avoir déployé, à la suite du contrôle, un système de surveillance des flux de données circulant sur son réseau.
131. En troisième lieu, s’agissant des moyens de détection des comportements anormaux sur l’outil MOBO, la société considère avoir, au jour du contrôle, mis en œuvre des mesures de sécurité suffisantes en déployant un dispositif de journalisation uniquement pour la fonctionnalité consultation , qui est la seule fonction permettant d’accéder de manière effective aux données de ses abonnés. Elle estime qu’il n’était pas nécessaire de déployer un mécanisme de surveillance et de détection pour la fonctionnalité recherche de son outil dès lors que celle-ci ne permet pas d’accéder à des données à caractère personnel. Elle précise que lorsqu’un utilisateur effectue une recherche et que celle-ci renvoie plusieurs résultats, l’utilisateur doit, pour accéder aux données des abonnés, cliquer sur la fonction consultation . Elle ajoute que lorsqu’une recherche renvoie un seul résultat, la fonctionnalité consultation , qui fait l’objet d’une surveillance, est automatiquement appelée.