# Brief — 24 millions d'abonnés, un VPN mal protégé : la facture de 42 M€ envoyée à Free, l'empire de Xavier Niel

**Thème : droit du numérique — RGPD, obligation de sécurité et notification des violations de données**

L'article 32 du RGPD impose aux responsables de traitement des mesures techniques et organisationnelles proportionnées au risque ; l'article 34 encadre la communication d'une violation aux personnes concernées, et l'article 5-1-e) limite la durée de conservation des données. Après l'intrusion d'octobre 2024 dans les systèmes de **Free Mobile** et **Free** — filiales du groupe Iliad fondé par **Xavier Niel** — qui a exposé les données de **24 millions de contrats d'abonnés**, dont des IBAN, la CNIL a, par deux délibérations du 8 janvier 2026 rendues publiques le 13 janvier, sanctionné les deux sociétés à hauteur de **27 M€** et **15 M€** (42 M€ au total). En cause notamment : une authentification insuffisamment robuste sur le VPN utilisé pour le télétravail, une détection d'anomalies inefficace, une notification incomplète aux abonnés, et une rétention excessive de données chez Free Mobile.

## Sources
- [CNIL — Violation de données : sanction de 42 millions d'euros à l'encontre des sociétés FREE MOBILE et FREE (14 janvier 2026)](https://www.cnil.fr/fr/sanction-free-2026)
- [Légifrance — Délibération SAN-2026-001 du 8 janvier 2026](https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000053352664)
- [Légifrance — Délibération SAN-2026-002 du 8 janvier 2026](https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000053352643)
- [CNIL — Article 32 du RGPD (sécurité du traitement)](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article32)