Piratage de données personnelles : pourquoi “on a été attaqués” ne suffit pas à se dédouaner

L’affaire Free / Free Mobile, marquée par une cyberattaque survenue en octobre 2024 et sanctionnée par la CNIL le 8 janvier 2026, a compromis les données liées à 24 millions de contrats d’abonnés. Elle pose une question simple : jusqu’où va, concrètement, l’obligation de sécurité posée par l’article 32 du règlement général sur la protection des données, surtout lorsqu’on traite des données bancaires comme des IBAN et que la violation est massive ?

En 2026, l’affaire Free / Free Mobile a été l’occasion pour la CNIL de rappeler trois idées simples.

1. Les entreprises doivent protéger les données « pour de vrai » (article 32 RGPD)

Le RGPD impose à toute entreprise qui traite des données personnelles (clients, abonnés, patients, etc.) de mettre en place des mesures de sécurité adaptées aux risques : mots de passe solides, accès limités, systèmes cloisonnés, surveillance des connexions, tests de sécurité, etc.

La Commission nationale de l’informatique et des libertés rappelle que ce n’est pas une simple formalité : plus les données sont sensibles (par exemple les IBAN) et plus il y a de personnes concernées, plus la sécurité doit être élevée. En clair, si une entreprise gère des millions de dossiers clients avec des données bancaires, elle doit se donner les moyens techniques et organisationnels de les protéger réellement.

Point important : le fait d’être victime d’une cyberattaque ne suffit pas à se dédouaner. La question que la CNIL pose est toujours la même : « Aviez-vous mis en place des protections raisonnables compte tenu des risques, des technologies disponibles et des recommandations connues ? » Si la réponse est non, l’entreprise sera sanctionnée, même si l’attaquant est très habile.

2. En cas de fuite, il faut parler clairement aux personnes concernées (article 34 RGPD)

Le RGPD ne se contente pas d’exiger de la sécurité en amont : il impose aussi, en cas de fuite de données, d’informer les personnes concernées de façon claire et utile.

Concrètement, il ne suffit pas d’envoyer un message vague du type « un incident de sécurité a eu lieu ». L’entreprise doit expliquer :

• ce qui s’est passé (nature de la violation) ;
• quelles données sont concernées (coordonnées, IBAN, données de contrat…) ;
• les risques possibles (fraude, usurpation d’identité, phishing ciblé, etc.) ;
• et surtout ce que les personnes peuvent faire pour se protéger (surveiller leurs comptes, changer certains identifiants, être vigilantes sur les e-mails reçus, etc.).

Lorsque l’information est trop générale ou incomplète, la CNIL considère que les personnes n’ont pas été mises en mesure de se défendre. Là encore, cela peut conduire à une sanction spécifique, en plus de celle liée au défaut de sécurité.

3. Garder des données trop longtemps, c’est aussi un problème de sécurité (article 5 §1 e) RGPD)

La sécurité ne se joue pas seulement dans les protections techniques du réseau, mais aussi dans la durée pendant laquelle les données sont conservées.

Le RGPD prévoit que les données ne doivent pas être conservées plus longtemps que nécessaire pour la finalité poursuivie (gestion du contrat, facturation, contentieux, obligations légales, etc.). En pratique, cela signifie qu’une entreprise doit :

• définir des durées de conservation claires (par exemple X années après la fin du contrat) ;
• puis supprimer ou anonymiser les données au-delà de ces délais, sauf raison particulière et documentée.

Quand une entreprise garde pendant des années les données de millions d’anciens clients sans véritable justification, elle augmente mécaniquement l’impact potentiel d’une fuite : plus le « stock » de données est important, plus l’attaque fait de dégâts. La CNIL utilise alors la violation pour mettre en lumière une mauvaise gouvernance des données, et sanctionne non seulement l’attaque, mais aussi la politique de conservation.

Des données en danger ou mal protégées ? Parlons-en, nous pouvons vous aider à reprendre le contrôle.