AgentPublic/cnil huggingface dataset:
195. En effet, d’une part, la formation restreinte considère que les personnes concernées ne sont pas mises en mesure d’appréhender le contexte dans lequel elles pourraient être sollicitées par courriel, SMS ou téléphone, ni de comprendre les réflexes à adopter pour se prémunir des conséquences négatives. La formation restreinte observe que la société avait pourtant bien identifié, dans le cadre des scripts de questions/réponses mis à la disposition des conseillers répondant aux appels, qu’il existait un scénario de risque relatif à des tentatives de fraude en se faisant passer pour Free ou tout autre organisme . La formation restreinte note qu’elle avait également identifié des recommandations à prodiguer aux personnes (par exemple : ne jamais communiquer ses informations personnelles par email, SMS ou lors d’un appel, ne jamais ouvrir une pièce jointe d’un courriel en cas de doute). La formation restreinte considère que ces informations, identifiées au jour de l’envoi du courriel d’information, auraient dû être transmises de manière synthétique aux personnes concernées.
196. D’autre part, la formation restreinte considère qu’en visant uniquement le risque d’emails, SMS ou appels frauduleux , la société n’a pas communiqué l’ensemble des principaux risques auxquels sont exposées les personnes concernées par la violation. La société les avait pourtant identifiés lors de sa notification initiale auprès de la CNIL, ainsi que dans les scripts de questions/réponses fournis aux conseillers répondant aux appels. A titre d’exemple, s’agissant du risque d’usurpation d’identité, dès lors que les personnes le découvrent généralement a posteriori, la formation restreinte estime qu’une mention de ce risque, susceptible de causer un préjudice important en cas de réalisation, associé à un renvoi vers la page dédiée du site cybermalveillance.gouv.fr, qui communique des informations sur les principaux signes dont il faut se méfier, aurait été plus efficace qu’un renvoi vers sa page d’accueil, compte tenu de la densité d’informations qui figurent sur ce site, et qui ne sont pas toutes appropriées au cas d’espèce. L’avantage d’une telle approche est de communiquer sur le risque et d’apporter des informations plus détaillées, sans nuire à l’ergonomie ni à la lisibilité de l’information.
197. En troisième lieu, la formation restreinte relève que la communication de la CNIL intitulée Violations massives de données en 2024 : quels sont les principaux enseignements et mesures à prendre du 28 janvier 2025 mentionnait des violations de données de différents responsables de traitement dont celle de la société. D’une part, elle estime que cette communication n’a pas accru le nombre de plaintes dès lors que dès décembre 2024, la CNIL avait déjà reçu la très grande majorité des plaintes sur les 2 614 reçues au jour de la notification du rapport le 25 juillet 2025, ce qui constituait un nombre record. D’autre part, la communication n’a pas augmenté le nombre de plaintes déposées à l’encontre des autres responsables de traitement cités.
198. Il résulte de ce qui précède que, le courriel d’information initial n’a pas constitué une communication appropriée, dès lors que les seules informations qu’il contenait ne permettaient pas aux millions de personnes concernées par la violation de données en cause d’être rassurées sur le fait que la société avait bien pris les mesures de remédiation nécessaires, ni de comprendre les risques auxquels elles étaient exposées, dont ceux liés à des emails, SMS ou appels frauduleux , ni les mesures à prendre pour s’en prémunir.
199. Dès lors, la formation restreinte considère que la société a commis un manquement à l’article 34 du RGPD en ne communiquant pas aux personnes concernées par la violation de données les informations nécessaires dès le premier niveau d’information.
IV. Sur les mesures correctrices
200. Aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
201. 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;
202. 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 .
203. L’article 83 du RGPD prévoit en outre que chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
204. Le deuxième alinéa de l’article 22 de la loi Informatique et Libertés dispose ensuite que la formation restreinte peut rendre publique les mesures qu’elle prend .
205. Le considérant 150 du RGPD prévoit que lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l'Union européenne .
206. Les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679 précisent que la notion d’entreprise doit s’entendre comme une unité économique pouvant être formée par la société mère et toutes les filiales concernées. Conformément au droit et à la jurisprudence de l’Union, il y a lieu d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée .
207. Dans un arrêt du 5 décembre 2023 (CJUE, grande chambre, C-807/21), la CUJE a considéré, s’agissant de la notion d’ entreprise qu’ ainsi que l’a relevé M. l’avocat général au point 45 de ses conclusions, c’est dans ce contexte spécifique du calcul des amendes administratives imposées pour des violations visées à l’article 83, paragraphes 4 à 6, du RGPD qu’il y a lieu d’appréhender le renvoi, effectué au considérant 150 de ce règlement, à la notion d’" entreprise ", au sens des articles 101 et 102 TFUE. À cet égard, il convient de souligner que, aux fins de l’application des règles de la concurrence, visées par les articles 101 et 102 TFUE, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 6 octobre 2021, Sumal, C 882/19, EU:C:2021:800, point 41 et jurisprudence citée). Ainsi, il ressort de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives pour les violations énumérées dans ces paragraphes, que, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une entreprise, au sens des
articles 101 et 102 TFUE, le montant maximal de l’amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée. En définitive, ainsi que M. l’avocat général l’a relevé au point 47 de ses conclusions, seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire, et donc imposée par l’autorité de contrôle en se fondant, en ce qui concerne le montant de celle-ci, sur la notion d’unité économique au sens de la jurisprudence citée au point 56 du présent arrêt, est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive. Dès lors, lorsqu’une autorité de contrôle décide, au titre des pouvoirs qu’elle détient en vertu de l’article 58, paragraphe 2, du RGPD, d’imposer à un responsable du traitement, qui est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, une amende administrative en application de l’article 83 dudit règlement, cette autorité est tenue de se fonder, en vertu de cette dernière disposition, lue à la lumière du considérant 150 du même règlement, lors du calcul des amendes administratives pour les violations visées aux paragraphes 4 à 6 de cet article 83, sur la notion d’" entreprise ", au sens de ces articles 101 et 102 TFUE (paragraphes 55 à 59).
208. Cette position a été confirmée par la Cour dans son arrêt du 13 février 2025 (CJUE, cinquième chambre, C-383/23).
A. Sur le prononcé d’une amende administrative et son montant
209. A titre liminaire, la société reproche au rapporteur de retenir un manquement à la conservation des données, comme un grief autonome, et de considérer qu’il a aggravé le manquement à la sécurité, dès lors que l’attaquant a pu accéder à des données qui auraient dû être supprimées au jour de l’attaque. Elle considère également que le rapporteur propose de sanctionner deux fois les mêmes faits en prenant en compte le chiffre d’affaires de la maison mère des sociétés pour sanctionner à la fois la société FREE MOBILE et la société FREE, compte tenu de la violation des données des clients convergents. La société considère que le rapporteur méconnaît ainsi le principe non bis in idem .
210. Le rapporteur considère ne pas avoir méconnu le principe non bis in idem . Il précise que la violation de données en cause permet d’illustrer la gravité du manquement aux dispositions du RGPD relatives à la durée de conservation des données. Il propose à la formation restreinte de sanctionner les sociétés FREE MOBILE et FREE, deux personnes morales distinctes, pour des faits distincts, qui ont notamment impacté les données d’abonnés dits convergents .
211. La formation restreinte rappelle qu’il résulte de l’article 50 de la Charte des droits fondamentaux de l’Union européenne, relatif au principe non bis in idem que nul ne peut être poursuivi ou puni pénalement en raison d'une infraction pour laquelle il a déjà été acquitté ou condamné dans l'Union par un jugement pénal définitif conformément à la loi .
212. Elle rappelle également que ce principe a vocation à s’appliquer dans l’hypothèse où une personne a déjà été condamnée ou acquittée par un jugement définitif, pour des faits relevant de la même infraction (CJUE, 7 janvier 2004, Aalborg Portland e.a./Commission, affaire C 204/00 P, § 338).
213. En l’espèce, en premier lieu, la formation restreinte rappelle qu’elle considère que les faits relatifs à la conservation de l’intégralité des données de millions de contrats résiliés depuis plus de cinq ans, sans justification, au jour du contrôle, constituent un manquement à l’article 5-1-e du RGPD. Par ailleurs, les faits relatifs à l’insuffisance de mesures de sécurité permettant d’assurer la sécurité des données traitées constituent un manquement à l’article 32 du RGPD. Dès lors, la formation restreinte sanctionne la société au titre des articles 5-1-e) et 32 du RGPD pour des faits distincts, le manquement à l’article 5-1-e) n’étant pas un élément constitutif du manquement à l’article 32.
214. Par ailleurs, la formation restreinte rappelle qu’elle considère que les éléments du dossier portés à sa connaissance ne lui permettent pas de se prononcer sur le point de savoir si l’absence d’implémentation de la politique de durée de conservation des données a ou non permis à l’attaquant d’accéder à une profondeur historique de données plus importante, et donc de considérer que le manquement à l’article 5 du RGPD a aggravé le manquement à l’article 32 du RGPD.
215. En second lieu, la formation restreinte rappelle que la violation de données en cause, qui a notamment concerné les données de clients dits convergents, a été rendue possible ou a été facilitée par des vulnérabilités qui sont à la fois propres au système d’information de la société FREE MOBILE et propres à celui de la société FREE. Compte tenu de leurs responsabilités respectives à l’égard de leurs propres systèmes d’information, deux procédures de sanction distinctes ont été diligentées à l’encontre des deux sociétés. Dans le cadre de la procédure de sanction visant la société FREE MOBILE, la formation restreinte considère que celle-ci a commis un manquement à l’article 32 du RGPD, compte tenu des vulnérabilités propres à son système d’information (absence de sécurisation de la connexion au VPN, absence de moyens de détection des comportements suspects sur son VPN et son outil MOBO), qui ont été exploitées par l’attaquant lors de la violation de données en cause. Ces faits et leur imputation sont distincts de ceux imputés à la société FREE.
216. Dès lors, la formation restreinte considère ne pas méconnaitre le principe non bis in idem en sanctionnant deux personnes morales distinctes pour des faits distincts, ayant touché pour partie les mêmes données.
217. Par conséquent, la formation restreinte écarte le grief tiré d’une méconnaissance du principe non bis in idem .
1. Sur le prononcé d’une amende administrative
218. Le rapporteur propose à la formation restreinte de prononcer à l’encontre de la société une amende administrative au regard de manquements constitués aux articles 5-1-e), 32 et 34 du RGPD.
219. En défense, la société conteste l’analyse du rapporteur s’agissant des critères de l’article 83 du RGPD qui permettent de déterminer s’il y a lieu de prononcer une amende et de fixer son montant. Tout d’abord, s’agissant de la gravité de la violation de données, elle estime que, compte tenu de la recrudescence de la cybermenace, les données concernées avaient donc déjà fait l’objet de violations antérieures. Elle fait notamment valoir qu’elle a pris toutes les mesures nécessaires pour remédier à la violation de données en cause, qui s’inscrit dans le cadre d’une recrudescence de cyberattaques, et pour atténuer les conséquences de celle-ci pour les personnes concernées. Par ailleurs, elle rappelle s’être mise en conformité en cours de procédure, avant la clôture de l’instruction, à l’égard des manquements relevés par le rapporteur. En outre, elle soutient ne pas avoir tiré d’avantages financiers de la violation de données et avoir, au contraire, subi un préjudice qui se traduit par la baisse du nombre des nouveaux abonnés au premier semestre de l’année 2025. Enfin, elle considère que la communication réalisée par la CNIL auprès des plaignants et sur son site web viole le secret de l’enquête et de l’instruction ainsi que sa présomption d’innocence, et doit être pris en compte.
220. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes.
221. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’alinéa a) relatif à la gravité du manquement compte tenu de la nature, de la portée ou de la finalité du traitement, ainsi que du nombre de personnes affectées et du niveau de dommage qu’elles ont subi.
222. La formation restreinte rappelle que les manquements commis ont concerné un nombre très important de personnes puisque, d’une part, la violation de données a concerné les données de plus de 24 millions de contrats d’abonnés et, d’autre part, la conservation injustifiée des données a concerné les données d’environ 15 millions de contrats. La formation restreinte observe que ce volume reflète la place centrale occupée par la société dans le secteur des télécommunications en France.
223. Par ailleurs, la formation restreinte a considéré que l’insuffisance des mesures de sécurité déployées par la société (l’authentification au VPN et la détection des comportements suspects) avait permis ou a facilité la survenance de la violation de données. Elle estime que le contexte de recrudescence de cyberattaques nécessite une attention particulière des responsables du traitement pour assurer la sécurité des données qu’ils traitent. En l’espèce, la violation de données a conduit à une surexposition des données et ainsi augmenté le risque d’utilisations frauduleuses.
224. En outre, la formation restreinte relève que sur les 24 633 469 contrats concernés par la violation de données, seules 58 239 personnes ont appelé le numéro de téléphone gratuit mis à disposition par les sociétés FREE et FREE MOBILE et ont donc bénéficié d’informations complètes sur les conséquences probables de la violation et les mesures que les personnes peuvent prendre pour les éviter. Ce défaut de communication d’informations essentielles à un très grand nombre de personnes a significativement augmenté la survenance des risques exposés au point 2 de la présente délibération.
225. Enfin, la formation restreinte observe que la violation de données en cause a généré un nombre sans précédent de plaintes adressées à la CNIL, ce qui reflète la grande inquiétude des personnes concernées. La formation restreinte relève que l’imprécision des courriels de notification adressés en application de l’article 34 du RGPD n’a pu qu’alimenter la crainte et l’incertitude des personnes s’agissant des conséquences de la violation sur leur vie privée.
226. Il résulte de ce qui précède que les manquements caractérisés à l’égard de la société sont particulièrement graves.
227. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.
228. La formation restreinte considère que la société a fait preuve de négligence dès lors que le traitement a été mis en œuvre dès 2012 et qu’en 2024 (année du contrôle), elle n’avait pas mis en œuvre les mesures techniques lui permettant de s’assurer de conserver les données de ses anciens abonnés pendant une durée limitée. La formation restreinte précise que, compte tenu du fait que cette obligation préexistait à l’entrée en vigueur du RGPD, la société était tenue de purger les données dès la première échéance de conservation des données. A titre d’exemple, dès lors que la société soutient conserver les données à caractère personnel de ses anciens abonnés pendant cinq ans après la fin de la relation contractuelle à des fins de fraude, en cas de résiliation d’un abonné en 2012, la société aurait donc dû être en mesure de supprimer les données qui ne lui étaient plus nécessaires à des fins de fraude dès 2017.
229. S’agissant du manquement à l’article 32 du RGPD, la formation restreinte relève que les mesures de sécurité qui auraient permis d’empêcher ou de limiter la violation sont pourtant bien identifiées par l’état de l’art, et qu’elle disposait des moyens humains, techniques et financiers pour les mettre en œuvre.
230. Enfin, s’agissant du manquement à l’article 34 du RGPD, la société a fait preuve de négligence en ne portant pas à la connaissance des personnes concernées, dès le courriel de notification, les risques encourus par ces dernières, ainsi que les mesures qu’elles doivent prendre pour s’en prémunir alors même qu’elle les avait identifiés.
231. Par conséquent, la formation restreinte considère que les manquements en cause résultent de la négligence de la société.
232. En troisième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2 du RGPD relatif aux circonstances aggravantes ou atténuantes applicables aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.
233. Outre le fait que le nombre d’abonnés a augmenté entre le dernier trimestre 2024 et le premier trimestre 2025, la formation restreinte relève que la société ne démontre pas le lien de causalité entre le préjudice subi du fait de la violation de données et une éventuelle perte de chiffre d’affaires qu’il conviendrait de prendre en compte en tant que circonstance atténuante.
234. Par ailleurs, s’agissant de la communication effectuée par la CNIL aux plaignants, la formation restreinte rappelle qu’elle s’inscrit dans le cadre de l’article 8-I-2-d) de la loi Informatique et Libertés modifiée, qui prévoit une obligation pour la Commission d’informer l’auteur d’une réclamation de l’issue de l’enquête (décision de sa Présidente de procéder à la clôture de la procédure de contrôle, et le cas échéant celle de la réclamation, ou d’engager une procédure de sanction). En l’espèce, la saisine de la formation restreinte et la désignation d’un rapporteur marquent la fin de la phase d’enquête au sens de l’article précité, et il convenait donc d’en informer l’auteur de la réclamation. La formation restreinte précise que le contenu de l’information communiquée aux plaignants ne comportait pas d’informations couvertes par le secret dès lors qu’il n’est pas fait mention des manquements reprochés ni de la mesure correctrice proposée par le rapporteur.
235. La formation restreinte rappelle également que, compte tenu de son impartialité et de son indépendance, elle n’est pas liée par les demandes formulées par le rapporteur dans le cadre d’une procédure de sanction. Dès lors, la décision de la présidente de la CNIL d’engager une procédure de sanction à l’encontre de la société ne préjuge pas de la décision qui sera rendue par les membres de la formation restreinte, ce que rappelait d’ailleurs le courrier d’information adressé par les services de la Commission aux plaignants.