Droit Vivant · CNIL / RGPD · 30 juin 2026

L'obligation de sécurité des données (article 32 RGPD)

Principe-clé : le responsable de traitement doit déployer des mesures de sécurité adaptées au risque ; l'absence de mesures élémentaires — authentification robuste, détection des comportements anormaux — engage sa responsabilité même lorsque la fuite résulte d'une attaque externe.

Textes de référence

Art. 32 RGPD — sécurité du traitement : mesures techniques et organisationnelles adaptées au risque
Art. 34 RGPD — communication d'une violation de données aux personnes concernées
Art. 5-1-e) RGPD — limitation de la durée de conservation
Délibérations SAN-2026-001 (Free Mobile) et SAN-2026-002 (Free), 8 janvier 2026

L'affaire

CNIL, formation restreinte, 8 janvier 2026 — sanctions publiées le 13 janvier 2026. En octobre 2024, un attaquant s'infiltre dans le système d'information des sociétés Free Mobile et Free et accède aux données de 24 millions de contrats d'abonnés, dont des IBAN. Plus de 2 500 plaintes sont déposées. La CNIL relève une authentification VPN insuffisamment robuste (télétravail) et une détection des comportements anormaux inefficace. Amendes : 27 M€ (Free Mobile) et 15 M€ (Free), soit 42 M€ au total, avec injonctions sous 3 mois.

Pourquoi c'est important

L'article 32 est une obligation de moyens renforcée : être victime d'une intrusion n'exonère pas si des mesures de base manquaient. La CNIL cible ici précisément les fondamentaux d'un ingénieur sécurité — MFA sur les accès distants (VPN), journalisation et détection d'anomalies. Le message : la robustesse de l'authentification des accès privilégiés et la capacité de détection ne sont pas des options, mais le socle minimal exigé par le droit, dont le défaut se chiffre désormais en dizaines de millions d'euros.

Mini-glossaire

Responsable de traitement: Entité qui détermine les finalités et les moyens d'un traitement de données ; débiteur de l'obligation de sécurité de l'article 32.
Violation de données (data breach): Atteinte à la confidentialité, l'intégrité ou la disponibilité de données personnelles, accidentelle ou illicite.
Formation restreinte: Organe de la CNIL chargé de prononcer les sanctions, distinct des services qui instruisent les contrôles.
Obligation de moyens: Engagement de mettre en œuvre des mesures appropriées au risque, sans garantir un résultat ; son appréciation est concrète et proportionnée.