Portugal Colonial - Free et Free Mobile condamnés à de lourdes amendes après une fuite de données

Dans une décision rendue le 8 janvier et publiée mercredi sur Légifrance, la Commission nationale informatique et libertés (Cnil) a condamné Free à payer une amende de 15 millions d'euros et Free mobile à verser 27 millions.

Ces sanctions sont prononcées plus d'un an après un vol de données massif, qui avait concerné 24 millions de contrats de clients de l'opérateur en octobre 2024.

En parallèle de l'attaque informatique, un pirate avait proposé à la vente en ligne un fichier censé contenir les informations dérobées.

Parmi les données, rapidement vendues, figuraient notamment des numéros de compte bancaire (Iban).

Des procédures distinctes avaient été lancées contre les deux entités, Free et Free Mobile, qui ont chacune des obligations liées à leur propre système d'information, a expliqué la Cnil, destinataire de plus de 2.000 plaintes de personnes concernées par cette violation.

Dans un communiqué, l'autorité de protection des données a souligné que les deux entreprises du groupe Iliad n'avaient "pas mis en œuvre certaines mesures élémentaires de sécurité qui auraient pu rendre l’attaque plus difficile". Elle a aussi relevé plusieurs manquements au règlement européen de protections des données (RGPD).

Elle a notamment évoqué une procédure d'authentification "pas suffisamment robuste" pour les salariés de Free travaillant à distance.

C'est par ce biais que le pirate responsable de l'attaque s'était d'abord connecté au réseau informatique de l'entreprise, précise l'autorité.

- "Sévérité inédite" -

La Cnil a aussi reproché aux opérateurs des manquements dans leurs obligations en matière d'information des personnes concernées par le vol des données.

Selon le Commission, les entreprises auraient dû davantage informer leurs clients des mesures de protection mises en place a posteriori, et mieux les prévenir des risques potentiels.

Free Mobile est également visé pour avoir conservé pendant trop longtemps des données d'anciens clients. La Cnil a ainsi "constaté la présence de données relatives à plus de 15 millions de contrats résiliés depuis plus de cinq ans, dont trois millions depuis plus de dix ans", ce qui est "manifestement excessif", a-t-elle signalé.

Free a rapidement dénoncé mercredi une décision d'une "sévérité inédite sans commune mesure au regard des précédents en matière de cyberattaques".

"Dans plusieurs cas comparables, malgré des impacts similaires, voire plus graves, sur les données personnelles, les sanctions prononcées semblent dérisoires au regard de celle-ci", a insisté l'entreprise.

"Nous allons donc déposer un recours devant le Conseil d’État afin de faire valoir nos droits et obtenir la révision de cette décision", a ajouté l'opérateur, qui dit avoir renforcé son "architecture de sécurité" depuis l'incident.

Un tel recours n'est toutefois pas suspensif. Les deux opérateurs devront donc s'acquitter des amendes avant une éventuelle nouvelle décision.

Outre les amendes, la Cnil a également ordonné à Free et Free Mobile de prendre des mesures en matière de sécurité des données.

Si elle constate que des évolutions avaient déjà débuté, elle a ordonné aux entreprises de finaliser la mise en œuvre de ces mesures dans un délai de trois mois.

Elle a aussi enjoint à Free Mobile de finaliser le tri des données conservées et de purger ses bases de données des détails des contrats résiliés depuis plus de dix ans.

Dans le volet pénal de cette affaire, un mineur de 16 ans avait été mis en examen début 2025.

Outre Free, d'autres entreprises avait été ciblées en 2024 par des vols de données massifs. Après cette année noire, la Cnil avait annoncé en avril qu'elle allait hausser le ton et exiger davantage de garanties aux détenteurs de grandes bases de données.

E.Raimundo--PC