Brief — 24 millions d'abonnés, un VPN mal protégé : la facture de 42 M€ envoyée à Free, l'empire de Xavier Niel
Thème : droit du numérique — RGPD, obligation de sécurité et notification des violations de données
L'article 32 du RGPD impose aux responsables de traitement des mesures techniques et organisationnelles proportionnées au risque ; l'article 34 encadre la communication d'une violation aux personnes concernées, et l'article 5-1-e) limite la durée de conservation des données. Après l'intrusion d'octobre 2024 dans les systèmes de Free Mobile et Free — filiales du groupe Iliad fondé par Xavier Niel — qui a exposé les données de 24 millions de contrats d'abonnés, dont des IBAN, la CNIL a, par deux délibérations du 8 janvier 2026 rendues publiques le 13 janvier, sanctionné les deux sociétés à hauteur de 27 M€ et 15 M€ (42 M€ au total). En cause notamment : une authentification insuffisamment robuste sur le VPN utilisé pour le télétravail, une détection d'anomalies inefficace, une notification incomplète aux abonnés, et une rétention excessive de données chez Free Mobile.