Free et Free Mobile écopent d’une amende record après un piratage massif

_**La Commission nationale de l’informatique et des libertés a infligé une sanction financière totale de 42 millions d’euros aux deux opérateurs, pointant des manquements graves à leurs obligations de sécurité.**_

La filiale mobile du groupe Iliad, Free Mobile, devra verser 27 millions d’euros, tandis que Free est condamné à payer 15 millions. Cette décision, rendue publique ce mercredi, fait suite à une intrusion informatique survenue en octobre 2024, qui avait exposé les informations de plusieurs millions de clients. Les données compromises incluaient des coordonnées bancaires, rapidement mises en vente sur des canaux clandestins.

L’autorité de régulation a justifié ce montant par une accumulation de négligences. Elle relève que des mesures de sécurité fondamentales n’ont pas été appliquées, facilitant ainsi l’action du pirate. La procédure d’authentification pour les collaborateurs en télétravail a notamment été jugée insuffisante. Par ailleurs, les deux entités n’ont pas correctement informé les personnes concernées des risques encourus et des mesures correctives déployées après l’incident.

Un autre grief important concerne la conservation excessive de données. Free Mobile a été sanctionné pour avoir conservé, de manière jugée « manifestement excessive », les informations relatives à plus de 15 millions d’anciens contrats, dont certains résiliés depuis plus d’une décennie. La Cnil a ordonné la purge de ces archives dans un délai imparti.

En réaction, l’opérateur a vivement contesté la sévérité de la sanction, la qualifiant d’inédite et disproportionnée par rapport à des affaires similaires. Free a annoncé son intention de former un recours devant le Conseil d’État. Cette démarche n’est cependant pas suspensif, obligeant les sociétés à s’acquitter des amendes dans l’immédiat.

Outre les sanctions pécuniaires, la Cnil a enjoint aux deux opérateurs de finaliser, sous trois mois, le renforcement de leur architecture de sécurité. Cette affaire intervient dans un contexte où l’autorité a annoncé son intention de durcir son contrôle sur les détenteurs de vastes bases de données, après une série d’incidents majeurs survenus l’an dernier.