Droit Vivant
Brief

↓ Version .md brute

Brief — Obligation de sécurité des données : sanction CNIL Free / Free Mobile (8 janvier 2026)

Thème : droit du numérique — RGPD & sécurité des données (CNIL)

L'article 32 du RGPD impose au responsable de traitement des mesures de sécurité « adaptées au risque » : être victime d'une cyberattaque n'exonère pas si les fondamentaux manquaient. Le 8 janvier 2026 (sanctions publiées le 13 janvier), la formation restreinte de la CNIL a infligé 42 M€ d'amendes aux sociétés Free Mobile (27 M€, délibération SAN-2026-001) et Free (15 M€, SAN-2026-002) après l'intrusion d'octobre 2024 ayant exposé les données de 24 millions de contrats d'abonnés, dont des IBAN. La CNIL a retenu un manquement à l'article 32 — authentification VPN insuffisamment robuste pour le télétravail et détection des comportements anormaux inefficace — ainsi qu'à l'article 34 (information incomplète des personnes) et, pour Free Mobile seule, à l'article 5-1-e) (conservation excessive). Pour un professionnel de la sécurité : MFA sur les accès distants, journalisation et détection d'anomalies ne sont pas des options mais le socle minimal légalement exigé.

Sources