Droit Vivant
Source NotebookLM

↓ Version .md brute (pour NotebookLM)

24 millions d'abonnés, un VPN mal protégé : la facture de 42 M€ envoyée à Free, l'empire de Xavier Niel

Contexte : une fuite de données parmi les plus massives jamais sanctionnées en France

En octobre 2024, un attaquant parvient à s'infiltrer dans le système d'information de deux sociétés du groupe Iliad : Free Mobile, l'opérateur mobile, et Free, l'opérateur historique du haut débit fixe. L'intrusion donne accès à des données personnelles concernant vingt-quatre millions de contrats d'abonnés. Pour les personnes qui étaient à la fois clientes de Free Mobile et de Free, la fuite inclut leur IBAN, c'est-à-dire les coordonnées bancaires permettant en théorie d'initier des prélèvements. Le groupe Iliad a été fondé et est toujours majoritairement détenu par Xavier Niel, entrepreneur bien connu du grand public pour avoir démocratisé l'accès à Internet en France dans les années 2000 avec la « Freebox », et devenu depuis un acteur tentaculaire de la tech, des médias (coactionnaire du Monde) et, plus récemment, de l'intelligence artificielle et des télécoms européens — il a annoncé le 10 juillet 2026 devenir le premier actionnaire de Vodafone. Il est important de le préciser d'emblée : la sanction dont il est question ici ne vise en rien Xavier Niel personnellement. Les deux délibérations de la CNIL sanctionnent les personnes morales Free Mobile et Free, en leur qualité de responsables du traitement de leurs abonnés respectifs, pour des manquements à leurs obligations légales de sécurité — pas un individu, et aucune faute pénale n'est en cause.

La procédure et la décision de la CNIL

La fuite d'octobre 2024 a suscité plus de 2 500 plaintes auprès de la Commission nationale de l'informatique et des libertés (CNIL), l'autorité française chargée de faire respecter le règlement général sur la protection des données (RGPD). Ce volume de plaintes a déclenché un contrôle approfondi des deux sociétés. Au terme de cette instruction, la formation restreinte de la CNIL — l'organe collégial de l'institution spécifiquement chargé de prononcer les sanctions, distinct des services qui instruisent les dossiers — a rendu, le 8 janvier 2026, deux délibérations rendues publiques le 13 janvier suivant : la délibération SAN-2026-001 condamne Free Mobile à une amende de 27 millions d'euros, et la délibération SAN-2026-002 condamne Free à 15 millions d'euros, soit 42 millions d'euros cumulés. Pour fixer ces montants, la CNIL a tenu compte de plusieurs facteurs prévus par le RGPD : les capacités financières des sociétés, la gravité des manquements au regard de principes essentiels de sécurité, le nombre très élevé de personnes concernées, le caractère hautement sensible de certaines données (les IBAN), et les risques concrets que leur divulgation fait peser sur les victimes, notamment un risque de fraude bancaire.

Les trois manquements retenus

Le premier manquement, le plus lourd, porte sur l'article 32 du RGPD, qui impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque pour garantir un niveau de sécurité approprié aux données traitées. La CNIL constate qu'au moment de l'attaque, deux défaillances techniques concrètes existaient : d'une part, la procédure d'authentification pour se connecter au VPN — le réseau privé virtuel utilisé en particulier pour le travail à distance des salariés — de Free Mobile et de Free n'était pas suffisamment robuste ; d'autre part, les dispositifs censés détecter des comportements anormaux sur le système d'information étaient inefficaces. La formation restreinte rappelle un principe central du droit de la sécurité des données : le risque zéro n'existe pas, mais l'obligation de moyens impose de réduire la probabilité d'un incident et, si l'incident survient malgré tout, d'en limiter la gravité. Autrement dit, ce n'est pas le fait d'avoir été attaqué qui est sanctionné, c'est l'insuffisance des mesures qui auraient dû rendre l'attaque plus difficile ou permettre de la détecter plus tôt.

Le deuxième manquement concerne l'article 34 du RGPD, qui encadre la communication d'une violation de données aux personnes concernées lorsque celle-ci est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Les deux sociétés avaient bien mis en place une communication à deux niveaux : un courriel d'information initial, puis un numéro vert et un dispositif de gestion des demandes auprès de leur délégué à la protection des données. La CNIL a toutefois jugé que le courriel envoyé ne contenait pas toutes les informations exigées par le paragraphe 2 de l'article 34, ce qui, selon elle, ne permettait pas aux personnes concernées de comprendre directement les conséquences réelles de la violation ni les mesures concrètes qu'elles pouvaient prendre pour se protéger, par exemple surveiller leur compte bancaire ou faire opposition.

Le troisième manquement, propre à Free Mobile, porte sur l'article 5, paragraphe 1, sous e), du RGPD, qui pose le principe de limitation de la conservation : les données ne doivent pas être gardées au-delà de ce qui est nécessaire aux finalités pour lesquelles elles ont été collectées. La CNIL a constaté que Free Mobile conservait, sans justification, des millions de données relatives à d'anciens abonnés, sans avoir mis en place de tri permettant de ne garder que ce qui est strictement nécessaire à des fins comptables. En cours de procédure, la société a commencé à trier ses données pour n'en conserver que dix ans à des fins comptables et a supprimé une partie du surplus ; la CNIL lui a néanmoins enjoint de finaliser cette purge dans un délai de six mois.

Sur le premier point, les deux entreprises avaient également engagé, en cours de procédure, des mesures de renforcement de leur sécurité ; la formation restreinte leur a laissé un délai de trois mois pour les finaliser complètement.

Pourquoi cette affaire dépasse le cas Free

Cette décision s'inscrit dans une tendance de fond de la CNIL depuis 2024-2025 : cibler en priorité les manquements à l'obligation de sécurité après des violations massives de données, plutôt que les seuls défauts de consentement ou d'information générale. Elle rejoint d'autres sanctions récentes évoquées dans ce même dépôt, comme celles adossées au règlement NIS2 pour les infrastructures critiques, ou les décisions relatives aux plateformes numériques prises au titre du DSA et du DMA : le fil conducteur est le passage d'une régulation déclarative — remplir des registres, publier des politiques de confidentialité — à une régulation qui vérifie l'effectivité technique des mesures de protection. Pour toute organisation qui traite des données sensibles à grande échelle, l'affaire Free illustre concrètement ce que signifie, en pratique, « mesures adaptées au risque » : la robustesse de l'authentification sur les accès distants et l'efficacité réelle de la détection d'anomalies deviennent des critères d'appréciation juridique, et pas seulement des bonnes pratiques techniques facultatives.

Sources

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Cinq angles possibles pour orienter le podcast généré à partir de ce document ; choisissez celui qui correspond le mieux à ce que vous cherchez à approfondir aujourd'hui.

Angle 1 — Checklist d'audit offensif. Concentre-toi sur les deux défaillances techniques citées par la CNIL — robustesse de l'authentification sur l'accès VPN distant et efficacité de la détection d'anomalies — et transforme-les en une checklist d'audit ou de test d'intrusion concrète : quels contrôles un pentester devrait vérifier sur un accès VPN d'entreprise, quels indicateurs de détection d'anomalies sont jugés « efficaces » par un régulateur, et comment documenter ces contrôles pour un rapport d'audit défendable devant la CNIL.

Angle 2 — Architecture et surface d'attaque. Explique la chaîne technique probable de l'incident (accès distant des salariés, VPN d'entreprise, système d'information exposant des bases d'abonnés avec IBAN) et discute des choix d'architecture qui réduisent ce type de surface d'attaque : segmentation réseau, authentification multifacteur obligatoire sur les accès distants, moindre privilège, et journalisation exploitable pour la détection.

Angle 3 — Comparaison des régimes de sanction déjà traités dans le dépôt. Compare le raisonnement et les montants de cette sanction RGPD (42 M€ pour un défaut de sécurité après intrusion) avec ceux du régime NIS2 et de la loi Résilience évoqués dans un module précédent de ce dépôt (amendes jusqu'à 10 M€ ou 2 % du CA, responsabilité personnelle des dirigeants) : quelles obligations se recoupent, lesquelles sont propres à chaque texte, et que cela signifie pour une entreprise soumise aux deux régimes à la fois.

Angle 4 — Veille réglementaire automatisée. Discute de la manière dont un consultant en automatisation pourrait construire une veille automatisée des délibérations de sanction de la CNIL (scraping ou API Légifrance, extraction des articles visés et des montants, alertes par secteur) pour anticiper les standards techniques implicites que la CNIL applique, plutôt que de les découvrir a posteriori dans une décision.

Angle 5 — Prospective contentieuse. Explore les suites possibles de cette affaire : recours de Free Mobile et Free devant le Conseil d'État contre les délibérations, risque d'actions en réparation collective des abonnés dont l'IBAN a fuité, et effet d'entraînement probable sur d'autres opérateurs télécoms français au regard du niveau désormais attendu de robustesse des accès VPN.