En octubre de 2024, un atacante se infiltró en los sistemas de información de Free y Free Mobile, los dos brazos de telecomunicaciones del grupo Iliad de Xavier Niel, y accedió a los datos personales de 24 millones de contratos de suscriptores, incluidos los números de cuenta bancaria, o IBAN, de los clientes que utilizaban ambos servicios. Fue una de las mayores brechas de una marca de consumo francesa. Más de 2.500 de esos clientes presentaron reclamaciones ante la autoridad de protección de datos, la CNIL.
Cuando la CNIL resolvió, el 13 de enero de 2026, impuso a las dos empresas una multa total de 42 millones de euros: 27 millones para Free Mobile y 15 millones para Free. Las conclusiones de la autoridad regulatoria fueron más allá del propio ataque. Free Mobile, según la CNIL, había conservado millones de registros de suscriptores durante mucho más tiempo del que tenía motivo alguno para hacerlo, incumpliendo la norma del RGPD según la cual los datos solo deben conservarse durante el tiempo necesario. Cuanto mayor era la acumulación, mayor era la brecha.
Las deficiencias de seguridad eran concretas. El VPN utilizado para acceder a los sistemas no contaba con una autenticación suficientemente robusta; las herramientas destinadas a detectar comportamientos anómalos no funcionaban; las medidas de protección de la confidencialidad eran inadecuadas. En otras palabras, los datos se habían recopilado en exceso y se habían protegido de forma insuficiente.
Luego vino la parte que convirtió esto en un fallo de marca y no solo en un fallo informático. El correo electrónico de Free que notificaba a los clientes la brecha, según determinó la CNIL, omitía información que las personas necesitaban: no les permitía comprender las consecuencias ni qué hacer para protegerse. Una empresa que posee los datos bancarios de 24 millones de clientes y luego no sabe explicarles con claridad qué se sustrajo ha fallado en la relación, no solo en el cortafuegos.
La CNIL multó a Free y Free Mobile con 42 M€ en total por conservación excesiva, seguridad débil y un correo de notificación de la brecha que dejó a los clientes sin la orientación necesaria.
Los datos se recopilaron y conservaron en exceso. Free Mobile guardó millones de registros que no tenía justificación para conservar, de modo que cuando el atacante entró, el botín era enorme por diseño.
La seguridad básica se dejó débil. Un VPN con autenticación insuficiente y monitoreo ineficaz dejó la puerta abierta; la brecha no fue tanto sofisticada como incontestada.
La notificación falló al cliente. El correo de la brecha omitió lo que las personas necesitaban para comprender el riesgo y protegerse, convirtiendo un incidente de seguridad en un incidente de confianza.
La autoridad regulatoria trató la custodia de datos como una obligación de marca. La CNIL valoró todo el fallo —seguridad, conservación y divulgación— en 42 millones de euros: custodiar los datos de los clientes es custodiar la confianza de los clientes.
Recopile solo los datos de clientes que necesite, elimínelos cuando no los necesite y proteja lo que quede, porque ahora una autoridad regulatoria valora una filtración no como un accidente sino como un incumplimiento de la relación con el cliente.
Las dos decisiones de la CNIL del 13 de enero de 2026 sumaron 42 millones de euros, entre las sanciones francesas de protección de datos más cuantiosas, y siguieron a más de 2.500 reclamaciones de suscriptores afectados. Para Free, una marca construida sobre la competencia por precios frente a los operadores establecidos, la resolución vinculó a su escala un tipo de costo diferente: cuantos más clientes captaba, más debía cuando sus datos quedaban expuestos.
CONSULTA LAS PRUEBAS