En octobre 2024, un attaquant s'est infiltré dans les systèmes d'information de Free et de Free Mobile, les deux branches télécom du groupe Iliad de Xavier Niel, et a atteint les données personnelles de 24 millions de contrats d'abonnés — y compris les numéros de compte bancaire, ou IBAN, des clients qui utilisaient les deux services. Il s'agit de l'une des plus importantes violations de données d'une marque grand public française. Plus de 2 500 de ces clients ont déposé une plainte auprès du régulateur des données personnelles, la CNIL.
Lorsque la CNIL a statué, le 13 janvier 2026, elle a infligé aux deux entreprises une amende totale de 42 millions d'euros — 27 millions d'euros pour Free Mobile et 15 millions d'euros pour Free. Les conclusions du régulateur allaient au-delà du piratage lui-même. Free Mobile, selon elle, avait conservé des millions d'enregistrements d'abonnés bien plus longtemps qu'elle n'avait de raison de le faire, enfreignant la règle du RGPD selon laquelle les données ne doivent être conservées que le temps nécessaire. Plus le magot est gros, plus la violation est importante.
Les défaillances de sécurité étaient précises. Le VPN utilisé pour accéder aux systèmes n'était pas authentifié de manière suffisamment robuste ; les outils censés détecter les comportements anormaux ne fonctionnaient pas ; les mesures protégeant la confidentialité étaient inadéquates. Autrement dit, les données étaient à la fois sur-collectées et sous-protégées.
Vint ensuite l'élément qui a fait de cette affaire une défaillance de marque plutôt qu'un incident informatique. L'e-mail de Free notifiant aux clients la violation, selon la CNIL, omettait des informations dont les personnes avaient besoin — il ne leur permettait pas de comprendre les conséquences ni ce qu'il fallait faire pour se protéger. Une entreprise qui détient les coordonnées bancaires de 24 millions de clients et qui ensuite ne sait pas leur dire clairement ce qui a été dérobé a échoué dans la relation, pas seulement dans le pare-feu.
La CNIL a infligé à Free et Free Mobile une amende totale de 42 M€ pour conservation excessive, sécurité insuffisante et un e-mail de notification de violation qui a laissé les clients sans les indications nécessaires.
Les données étaient sur-collectées et conservées trop longtemps. Free Mobile a gardé des millions d'enregistrements qu'elle n'avait aucune justification à détenir, de sorte que lorsque l'attaquant est entré, le butin était énorme par conception.
La sécurité de base a été laissée faible. Un VPN avec une authentification insuffisante et une surveillance inefficace a laissé la porte ouverte ; la violation n'était pas tant sophistiquée que sans opposition.
La notification a failli à l'égard du client. L'e-mail de violation omettait ce dont les personnes avaient besoin pour comprendre le risque et se protéger, transformant un incident de sécurité en incident de confiance.
Le régulateur a traité la gestion des données comme une obligation de marque. La CNIL a chiffré l'ensemble de la défaillance — sécurité, conservation et information — à 42 millions d'euros : détenir les données d'un client, c'est détenir la confiance d'un client.
La leçon
Ne collectez que les données clients dont vous avez besoin, supprimez-les lorsque vous n'en avez plus besoin, et protégez ce qui reste — car un régulateur chiffre désormais une fuite non pas comme un accident mais comme une atteinte à la relation client.
Suites
Les deux décisions de la CNIL du 13 janvier 2026 totalisaient 42 millions d'euros, parmi les sanctions françaises les plus lourdes en matière de protection des données, et faisaient suite à plus de 2 500 plaintes d'abonnés concernés. Pour Free, une marque bâtie sur le fait de casser les prix des acteurs en place, la décision a attaché un autre type de coût à son échelle : plus elle recrutait de clients, plus elle devait lorsque leurs données étaient laissées exposées.
VÉRIFIEZ LES SOURCES