Après le piratage massif ayant exposé 24,6 millions d’abonnés en 2024, la CNIL inflige une sanction historique au groupe Free, pointant des défaillances graves de sécurité.
Une sanction d’ampleur inédite après un piratage massif
La Commission nationale de l’informatique et des libertés (CNIL) a frappé fort. Le 14 janvier 2026, l’autorité de régulation a officialisé une amende totale de 42 millions d’euros à l’encontre du groupe Free, répartie entre 27 millions d’euros pour Free Mobile et 15 millions d’euros pour Free. Cette décision intervient à la suite d’un vol massif de données survenu en octobre 2024, qui a concerné 24,6 millions de clients, soit l’équivalent d’environ un tiers de la population française.
L’ampleur de l’incident a marqué les esprits. Les données personnelles de millions d’abonnés – dont la nature précise n’a pas été rendue publique dans son intégralité – ont été consultées puis exfiltrées par des hackers. En janvier 2025, un mineur de 16 ans avait été mis en examen, soupçonné d’être à l’origine de l’intrusion dans le système d’information de l’opérateur. Ce profil atypique avait déjà soulevé des interrogations sur le niveau réel de protection des infrastructures numériques d’un acteur majeur des télécommunications françaises.
La publication de la décision au Journal officiel confirme le caractère exceptionnel de la sanction. Rarement la CNIL avait prononcé une amende d’un tel montant pour des manquements liés à la cybersécurité. Ce dossier marque ainsi un jalon important dans l’application du Règlement général sur la protection des données (RGPD) en France.
Des « manquements particulièrement graves » pointés par la CNIL
Pour justifier cette sanction, la CNIL a mis en avant plusieurs éléments aggravants. D’abord, le nombre sans précédent de personnes touchées. Selon l’autorité, l’exposition de données concernant près de 25 millions de clients constitue un facteur déterminant dans l’évaluation de la gravité des faits. Plus qu’un simple incident technique, il s’agit d’un événement aux conséquences systémiques pour la protection des données personnelles en France.
Ensuite, la CNIL évoque des « manquements particulièrement graves » et une forme de « négligence » de la part des deux entités du groupe Iliad. Selon la décision, des mesures de sécurité jugées basiques et couramment recommandées n’étaient pas mises en place au moment du piratage. Ces protections auraient pourtant pu entraver ou limiter l’action des attaquants. Autrement dit, l’attaque n’aurait pas seulement reposé sur la sophistication des hackers, mais aussi sur des failles internes exploitables.
Enfin, l’autorité administrative indépendante souligne les ressources importantes du groupe Free. En tant qu’acteur majeur du marché des télécoms, disposant de moyens financiers conséquents, l’entreprise était censée être en mesure de déployer des dispositifs de sécurité adaptés à la sensibilité des données traitées. Cette capacité financière a été prise en compte dans le calcul du montant de l’amende, conformément aux principes du RGPD qui prévoient une modulation des sanctions selon la taille et les moyens concernés.
La riposte de Free : une sanction jugée disproportionnée
De son côté, le groupe dirigé par Xavier Niel conteste fermement la décision. Dans un communiqué, l’opérateur a dénoncé une sanction « d’une sévérité inédite » et sans commune mesure avec d’autres affaires comparables en matière de cyberattaques. Free estime que, dans des cas similaires – voire impliquant des atteintes plus graves aux données personnelles –, les montants prononcés par les autorités auraient été nettement inférieurs.
L’entreprise a annoncé avoir déposé un recours devant le Conseil d’État afin d’obtenir la révision de la décision. Cette démarche ouvre la voie à une bataille juridique qui pourrait durer plusieurs mois, voire plusieurs années. En attendant, l’amende constitue un signal fort adressé à l’ensemble du secteur numérique.
Free met également en avant les mesures correctrices adoptées depuis l’incident : renforcement des contrôles d’accès, amélioration des dispositifs de surveillance en temps réel, et durcissement général de l’architecture de sécurité. Le groupe insiste sur le fait qu’« aucune organisation, même hautement sécurisée », n’est totalement à l’abri d’attaques sophistiquées. Cet argument, fréquemment invoqué par les entreprises victimes de cyberattaques, pose la question de la frontière entre vulnérabilité inévitable et défaut de diligence.
Un signal fort pour l’ensemble du secteur des télécoms
Au-delà du cas Free, cette affaire illustre un durcissement progressif de la régulation en matière de protection des données. Depuis l’entrée en vigueur du RGPD en 2018, les autorités européennes disposent d’un arsenal répressif renforcé. Toutefois, les montants réellement infligés varient selon les pays et les contextes. En France, cette amende de 42 millions d’euros figure parmi les plus importantes jamais prononcées pour des manquements à la sécurité des données.
Pour les opérateurs télécoms et fournisseurs d’accès à Internet, le message est clair : la gestion des données personnelles ne relève plus seulement de la conformité administrative, mais d’un enjeu stratégique et réputationnel majeur. La confiance des abonnés constitue un actif essentiel. Une fuite massive peut entraîner non seulement des sanctions financières, mais aussi une perte durable de crédibilité.
Cette décision pourrait également encourager un renforcement des investissements en cybersécurité dans l’ensemble du secteur. Les infrastructures critiques, qui concentrent des volumes considérables de données sensibles, deviennent des cibles privilégiées pour les cybercriminels. Face à la montée en puissance des attaques, les autorités semblent désormais prêtes à sanctionner sévèrement toute défaillance jugée évitable.
En définitive, l’affaire Free dépasse le simple cadre d’un contentieux entre une entreprise et la CNIL. Elle pose une question centrale : jusqu’où les grands groupes doivent-ils aller pour garantir la protection des données de millions de citoyens ? À l’heure où les cyberattaques se multiplient et où les données personnelles représentent une valeur stratégique considérable, la tolérance réglementaire semble se réduire. Le jugement du Conseil d’État sera scruté de près, tant il pourrait redéfinir les contours de la responsabilité des géants du numérique face aux risques cyber.
Retrouvez notre rubrique judiciaire.
