Em outubro de 2024, um atacante infiltrou-se nos sistemas de informação da Free e da Free Mobile, os dois braços de telecomunicações do grupo Iliad, de Xavier Niel, e acessou os dados pessoais de 24 milhões de contratos de assinantes — incluindo os números de conta bancária, ou IBANs, de clientes que usavam os dois serviços. Foi uma das maiores violações de dados de uma marca de consumo francesa. Mais de 2.500 desses clientes reclamaram à autoridade de proteção de dados, a CNIL.
Quando a CNIL decidiu, em 13 de janeiro de 2026, multou as duas empresas em €42 milhões no total — €27 milhões para a Free Mobile e €15 milhões para a Free. As conclusões da autoridade foram além do próprio ataque. A Free Mobile, segundo ela, manteve milhões de registros de assinantes por muito mais tempo do que qualquer motivo justificaria, violando a regra do RGPD de que os dados devem ser mantidos apenas pelo tempo necessário. Quanto maior o acúmulo, maior a violação.
As falhas de segurança eram específicas. A VPN usada para acessar os sistemas não tinha autenticação suficientemente robusta; as ferramentas destinadas a detectar comportamentos anormais não funcionavam; as medidas de proteção da confidencialidade eram inadequadas. Em outras palavras, os dados foram excessivamente coletados e insuficientemente protegidos.
Depois veio a parte que transformou o caso em uma falha de marca, e não apenas de TI. O e-mail da Free que notificava os clientes sobre a violação, segundo a CNIL, omitia informações de que as pessoas precisavam — não lhes permitia entender as consequências nem o que fazer para se protegerem. Uma empresa que detém os dados bancários de 24 milhões de clientes e depois não consegue lhes dizer claramente o que foi levado falhou na relação, não apenas no firewall.
A CNIL multou a Free e a Free Mobile em €42 milhões no total por retenção excessiva, segurança fraca e um e-mail de notificação de violação que deixou os clientes sem as orientações necessárias.
Os dados foram excessivamente coletados e retidos. A Free Mobile manteve milhões de registros que não tinha justificativa para guardar, de modo que, quando o atacante entrou, o volume obtido era enorme por concepção.
A segurança básica foi deixada fraca. Uma VPN com autenticação insuficiente e monitoramento ineficaz deixou a porta aberta; a violação não foi sofisticada, mas sim sem oposição.
A notificação falhou com o cliente. O e-mail sobre a violação omitiu o que as pessoas precisavam para entender o risco e se proteger, transformando um incidente de segurança em um incidente de confiança.
A autoridade tratou a gestão de dados como uma obrigação de marca. A CNIL avaliou toda a falha — segurança, retenção e divulgação — em €42 milhões: deter dados de clientes é deter a confiança dos clientes.
A lição
Colete apenas os dados de clientes de que você precisa, exclua-os quando não precisar mais e proteja o que restar — porque agora uma autoridade reguladora avalia um vazamento não como um acidente, mas como uma violação da relação com o cliente.
As duas decisões da CNIL de 13 de janeiro de 2026 somaram €42 milhões, entre as maiores penalidades francesas de proteção de dados, e vieram após mais de 2.500 reclamações de assinantes afetados. Para a Free, uma marca construída sobre preços abaixo dos incumbentes, a decisão associou um tipo diferente de custo à sua escala: quanto mais clientes cadastrava, mais devia quando seus dados ficavam expostos.
CONFIRA AS EVIDÊNCIAS