Article 32 RGPD — obligation de sécurité du traitement (mesures techniques et organisationnelles adaptées au risque).Article 34 RGPD — communication d'une violation de données à la personne concernée, avec contenu minimal obligatoire.Article 5-1-e) RGPD — principe de limitation de la durée de conservation des données.Article 33 RGPD — notification de la violation à l'autorité de contrôle (CNIL) dans les 72 heures.En octobre 2024, un attaquant s'infiltre dans le système d'information des sociétés Free Mobile et Free et accède aux données de 24 millions de contrats d'abonnés, dont les IBAN des personnes clientes des deux entités. Plus de 2 500 plaintes parviennent à la CNIL. Par deux délibérations du 8 janvier 2026 (SAN-2026-001 et SAN-2026-002), rendues publiques le 13 janvier 2026, la formation restreinte de la CNIL sanctionne Free Mobile à hauteur de 27 M€ et Free à hauteur de 15 M€, soit 42 M€ au total. Les manquements retenus : une procédure d'authentification au VPN (utilisé notamment pour le télétravail) jugée insuffisamment robuste, une détection des comportements anormaux inefficace, une notification aux abonnés incomplète, et — pour Free Mobile seulement — une conservation excessive des données d'anciens clients. Les deux sociétés, filiales du groupe Iliad fondé et détenu majoritairement par Xavier Niel, ne sont pas visées personnellement : la sanction frappe les personnes morales responsables du traitement, à qui la CNIL a par ailleurs enjoint d'achever leurs mesures correctives sous 3 à 6 mois.
Pour n'importe quel abonné, cette affaire dit que la sécurité de son IBAN et de ses données personnelles n'est pas une simple promesse commerciale mais une obligation légale sanctionnable à hauteur de plusieurs dizaines de millions d'euros. Pour un professionnel de la sécurité, la décision est surtout une grille de lecture rare : la CNIL y détaille précisément quelles défaillances techniques emportent la sanction — robustesse de l'authentification sur les accès distants (VPN), efficacité réelle de la détection d'anomalies, complétude de la communication de crise envers les personnes concernées — autant de points de contrôle directement transposables à un audit de sécurité ou à un test d'intrusion sur l'infrastructure d'accès distant d'une organisation.