Le 13 janvier 2026, la Commission nationale de l’informatique et des libertés a annoncé deux sanctions prononcées le 8 janvier 2026 par sa formation restreinte : 27 millions d’euros à l’encontre de la société Free Mobile et 15 millions d’euros à l’encontre de la société Free, soit 42 millions d’euros au total, après une violation de données survenue en octobre 2024 qui a exposé les données personnelles d’environ 24 millions de contrats d’abonnés, dont des IBAN pour les personnes clientes à la fois des deux sociétés, selon le communiqué de la CNIL. À la date de rédaction, aucune autre intrusion, aucun dommage précis ni aucune responsabilité civile ne sont constatés par une source officielle au-delà de ce que décrit la CNIL ; les contrats que vous avez signés priment sur toute analyse générale, et seul le juge décidera des responsabilités et des réparations dans chaque dossier. Il faut aussi noter ce que dit la CNIL en faveur des sociétés : en cours de procédure, elles ont pris plusieurs mesures pour renforcer leur niveau de sécurité, initié un tri de leurs données et supprimé une partie des données conservées trop longtemps, et la formation restreinte leur a enjoint d’achever ces chantiers sous trois et six mois. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de Free, sur laquelle l’article ne formule aucun constat. Si vous êtes ou avez été client, cet article vous explique comment vérifier si vous êtes concerné, comment protéger votre compte bancaire, et quels recours exercer, plainte pénale, réclamation CNIL et action en réparation, avec les montants que les juges français accordent dans des dossiers comparables.
I. Ce que la CNIL a constaté et comment vérifier si vous êtes concerné
A. Une sanction de 42 millions d’euros pour trois manquements
La CNIL a d’abord relevé un manquement à la sécurité, au sens de l’article 32 du RGPD, qui impose au responsable du traitement de mettre en oeuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Selon le communiqué officiel, la procédure d’authentification pour se connecter au VPN des deux sociétés, utilisée notamment pour le travail à distance, « n’était pas suffisamment robuste », et les dispositifs de détection des comportements anormaux « étaient inefficaces ». La formation restreinte a considéré que certaines mesures élémentaires de sécurité, qui auraient pu rendre l’attaque plus difficile, n’avaient pas été mises en oeuvre. Le communiqué officiel retient quelque 24 millions de contrats exposés et des IBAN pour les personnes clientes à la fois des deux sociétés ; seuls ces chiffres, publiés par la CNIL, font foi à la date de rédaction.
Le deuxième manquement porte sur l’information des victimes, au sens de l’article 34 du RGPD, dont le paragraphe 2 exige une communication décrivant de façon claire et simple la nature de la violation. Les sociétés avaient adressé un courriel puis mis en place un numéro vert et un circuit interne auprès du délégué à la protection des données. La CNIL a jugé le courriel incomplet au regard des informations exigées par le paragraphe 2 de l’article 34, estimant que ces omissions empêchaient les clients de comprendre directement les conséquences de la violation et les mesures de protection à prendre. Concrètement, un client qui reçoit un message vague sur un « incident de sécurité » sans explication des risques ni des gestes de protection ne peut pas réagir utilement, et c’est cette utilité pratique que la CNIL exige.
Le troisième manquement, retenu contre Free Mobile, porte sur la durée de conservation, au sens de l’article 5, paragraphe 1, point e) du RGPD, qui n’autorise la conservation sous forme identifiante que pendant la durée nécessaire aux finalités du traitement. Au jour du contrôle, la société n’avait pas organisé le tri des données de ses anciens abonnés et aurait conservé sans justification, pendant une durée excessive, des millions de données de ses abonnés. La société a engagé en cours de procédure un tri pour ne garder pendant dix ans que les données nécessaires aux obligations comptables, et la CNIL lui a enjoint de finaliser tri et purge dans les six mois de la notification. Ce point intéresse directement les anciens clients : même résilié depuis des années, votre dossier a pu figurer parmi les données exposées.
B. Vérifier votre situation, y compris comme ancien client
Commencez par établir votre statut. Si vous êtes actuellement abonné mobile, fixe ou les deux, vous relevez du périmètre décrit par la CNIL. Si vous avez résilié, ne vous excluez pas : la conservation excessive sanctionnée signifie que des dossiers d’anciens abonnés ont pu être exposés eux aussi. Le risque le plus concret varie selon votre cas : pour les doubles abonnés, l’IBAN figurait parmi les données accessibles, ce qui expose aux prélèvements et aux escroqueries ; pour les autres, les identifiants, coordonnées et références de contrat exposent au démarchage frauduleux, à l’hameçonnage et à l’usurpation d’identité. Recherchez le courriel d’information adressé par l’opérateur après la violation, vérifiez vos dossiers de courrier indésirable de l’automne 2024, et conservez tout : ce message, même incomplet, prouve que vous étiez identifié comme personne concernée.
Un point de calendrier mérite votre attention. La CNIL a enjoint à la société de finaliser le tri et la purge de ses données dans les six mois de la notification de la délibération, notifiée en janvier 2026 : ce délai est donc en principe arrivé à échéance à l’été 2026. Si vous êtes un ancien client et que l’opérateur détient toujours vos données à l’automne 2026, demandez-lui par écrit sur quel fondement précis chaque catégorie est conservée : exécution d’un contrat en cours, obligation comptable ou fiscale avec sa durée légale, contentieux en cours avec ses références, ou consentement. Toute conservation qui ne correspond à aucun de ces fondements doit être supprimée, et le maintien d’un dossier complet d’abonné résilié depuis plusieurs années, sans justification documentée, reprend exactement le manquement sanctionné. Conservez la réponse : un refus vague ou l’absence de réponse nourrira à la fois votre réclamation CNIL et votre demande judiciaire d’effacement sous astreinte.
Exercez ensuite votre droit d’accès pour savoir exactement ce que l’opérateur détient sur vous. Ce droit permet d’obtenir la confirmation qu’un traitement existe, les catégories de données, les destinataires et la durée de conservation. Adressez une demande écrite au délégué à la protection des données, en joignant une preuve d’identité, et gardez la preuve d’envoi. En cas d’absence de réponse dans un délai d’un mois, ou de réponse incomplète, vous pourrez saisir la CNIL par une réclamation, comme expliqué plus bas. Si vous étiez double abonné, demandez expressément si votre IBAN figurait dans le périmètre exposé et quelles mesures ont été prises depuis. Si vous êtes un ancien client, demandez quelles données vous concernant sont encore conservées, sur quel fondement, et exigez la suppression de celles dont la conservation n’est plus justifiée. Chaque réponse, ou chaque silence, constituera une pièce de votre dossier : copiez vos espaces client, exportez vos factures et conservez les relevés bancaires des mois qui suivent la violation, car c’est sur ces documents que le juge appréciera plus tard votre vigilance et votre préjudice.
II. Protéger vos comptes puis exercer vos recours
A. Sécuriser votre IBAN et déjouer les utilisations frauduleuses
Un IBAN seul ne permet pas de retirer de l’argent sans votre signature, mais il permet de préparer des prélèvements frauduleux et de rendre crédibles des escroqueries. La première mesure consiste à surveiller vos relevés bancaires ligne par ligne, y compris les petits montants, car les fraudeurs testent souvent un compte par un prélèvement modeste avant de frapper plus fort. Si un prélèvement que vous n’avez jamais autorisé apparaît, contestez-le sans tarder auprès de votre banque : l’article L. 133-18 du code monétaire et financier prévoit que le prestataire « rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf soupçon écrit de fraude de l’utilisateur signalé à la Banque de France, et rétablit le compte comme si l’opération n’avait pas eu lieu. Le délai pour signaler court, sous peine de forclusion, « au plus tard dans les treize mois suivant la date de débit », selon l’article L. 133-24 du même code. Écrivez donc à votre banque dès le premier doute, en recommandé ou via la messagerie sécurisée avec accusé, en décrivant l’opération contestée et en demandant le remboursement et la remise en état du compte.
Si votre IBAN a circulé, discutez avec votre banquier de l’opportunité de changer de coordonnées bancaires, notamment en cas de prélèvements contestés répétés : la banque peut attribuer un nouveau relevé d’identité bancaire et clôturer l’ancien, ce qui coupe court aux tentatives sur les anciennes coordonnées, même si vous devrez mettre à jour vos mandats légitimes un par un. Surveillez aussi votre situation de crédit : si un financement a été souscrit à votre nom à votre insu, interrogez les fichiers d’incidents de la Banque de France et contestez tout enregistrement infondé, car un fichage injustifié constitue un préjudice distinct qu’il faudra chiffrer et prouver. Les appels de faux conseillers qui citent vos références de contrat pour vous mettre en confiance relèvent du même circuit : notez le numéro appelant, l’heure, le prétexte invoqué et les sommes réclamées, puis transmettez ces notes avec votre plainte.
La seconde mesure consiste à ne jamais donner suite aux sollicitations qui exploitent la fuite. Aucun opérateur, aucune banque, aucune autorité ne vous demandera par téléphone, SMS ou courriel vos codes, vos mots de passe ou la validation d’une opération. Si un correspondant qui connaît votre nom, votre numéro de ligne ou vos références de contrat vous presse d’agir, raccrochez et rappelez vous-même le numéro officiel figurant sur votre facture ou votre carte bancaire. Ne cliquez sur aucun lien reçu après un tel appel, ne transmettez la copie d’aucune pièce d’identité à un inconnu, et signalez les messages frauduleux sur la plateforme officielle de signalement. Si une utilisation frauduleuse de vos données est avérée, par exemple un contrat souscrit à votre nom, un compte ouvert avec votre identité ou un prélèvement organisé sur votre IBAN, déposez plainte au commissariat ou à la gendarmerie en apportant les pièces : relevés, messages, captures, courriels, références des opérations. Les officiers et agents de police judiciaire « sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents », selon l’article 15-3 du code de procédure pénale : un service parisien ne peut donc pas vous renvoyer au seul motif que l’opérateur a son siège ailleurs. Quant à l’intrusion elle-même, elle peut relever de l’accès frauduleux à un système de traitement automatisé de données : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende », selon l’article 323-1 du code pénal. Sur le plan pénal, l’usage de vos données peut relever de l’usurpation d’identité, définie à l’article 226-4-1 du code pénal comme « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération », puni d’un an d’emprisonnement et de 15 000 euros d’amende, peines encourues aussi lorsque les faits sont commis sur un réseau en ligne. Si on vous a déterminé à remettre des fonds par de fausses qualités ou des manoeuvres, l’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque ». La plainte ne garantit pas l’identification de l’auteur, mais elle fige les faits, ouvre l’enquête et fournit un récépissé utile pour la banque, l’assurance et le juge civil.
B. Réclamer à la CNIL et demander réparation au juge
La sanction de la CNIL ne vous indemnise pas : comme toute amende administrative, elle est versée au budget général de l’État, et un éventuel recours de l’opérateur contre la sanction, s’il était formé devant le juge administratif, ne suspend pas vos propres démarches. Vous pouvez d’abord adresser une réclamation à la CNIL : l’article 77 du RGPD ouvre à toute personne concernée le droit de saisir une autorité de contrôle, notamment dans l’État de sa résidence, dès lors qu’elle estime que le traitement la concernant viole le règlement. Joignez votre demande d’accès restée sans réponse, le courriel d’information reçu et tout élément montrant la conservation de vos données après résiliation. L’autorité informe l’auteur de l’avancement et de l’issue de sa réclamation, ce qui vous donnera une pièce officielle supplémentaire. La réclamation CNIL et l’action en justice sont indépendantes : vous pouvez les mener ensemble.
Avant d’assigner, adressez à l’opérateur une mise en demeure détaillée : rappelez votre qualité d’abonné actuel ou passé, la violation constatée par la CNIL, votre préjudice pièce par pièce avec son montant, et le fondement de l’article 82 du RGPD, en fixant un délai raisonnable de réponse. Cette lettre ne conditionne pas l’action en justice, mais elle démontre votre bonne foi, fige le point de départ des échanges et conduit parfois à une proposition amiable, dont vous apprécierez librement le montant au regard des décisions citées plus haut. Si la réponse est un refus ou un silence, faites assigner devant le tribunal judiciaire en joignant l’intégralité du dossier : demande d’accès et réponse, courriel d’information, relevés bancaires annotés, récépissé de plainte, réclamation CNIL et sa suite, factures et justificatifs de frais. Demandez au juge la réparation de chaque chef de préjudice séparément, matériel et moral, et, lorsque des données sont encore conservées sans droit, l’effacement sous astreinte, car une condamnation chiffrée et une injonction d’effacement valent souvent mieux qu’une demande globale mal détaillée.
Votre contrat d’abonnement crée aussi un lien contractuel direct avec l’opérateur, qui doit assurer la sécurité des données qu’il traite pour vous fournir le service . « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure », selon l’article 1231-1 du code civil. C’est sur ce fondement que le tribunal judiciaire de Paris a condamné un opérateur après la perte du téléphone d’un client. L’action en réparation repose sur l’article 82 du RGPD, selon lequel toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut obtenir réparation de son préjudice auprès du responsable du traitement ou du sous-traitant. L’article 79 du RGPD garantit à chaque personne concernée un recours juridictionnel effectif en cas de violation des droits que le règlement lui confère. En pratique, les juges français exigent trois éléments : une violation établie, un préjudice prouvé et un lien entre les deux. La sanction de la CNIL facilite le premier point, puisqu’une autorité indépendante a constaté les manquements, mais elle ne dispense ni de démontrer votre préjudice ni d’en chiffrer le montant. Rassemblez donc les preuves de ce que la fuite vous a coûté : temps passé à sécuriser vos comptes, frais d’opposition ou de changement de coordonnées bancaires, prélèvements contestés, messages frauduleux reçus, démarches auprès de la banque, anxiété documentée le cas échéant par des attestations. Les montants accordés par les tribunaux dans des dossiers de données personnelles restent mesurés et dépendent des pièces : le tribunal judiciaire de Paris a accordé 2 000 euros de préjudice moral à un client dont l’opérateur avait perdu le téléphone confié en réparation avec des années de photos et vidéos personnelles, par jugement du 31 juillet 2024 (RG 23/01184) ; le tribunal judiciaire d’Aix-en-Provence a accordé 1 000 euros à chacun des deux demandeurs pour la diffusion de leurs données personnelles à une copropriété, avec effacement sous astreinte de 50 euros par jour de retard, par jugement du 5 août 2025 (RG 22/03891). À l’inverse, le tribunal judiciaire de Paris a refusé tout préjudice moral à une cliente victime d’une fraude bancaire sophistiquée, faute d’un « préjudice distinct » établi, tout en condamnant la banque à un remboursement partiel, par jugement du 11 février 2026 (RG 24/10897). Ces décisions montrent que le juge indemnise le préjudice démontré, pas la seule qualité de victime d’une fuite, et que la crainte abstraite, sans élément concret, ne suffit pas : c’est d’ailleurs ce qu’avait jugé le tribunal saisi après une autre fuite massive, en écartant l’indemnisation de la simple crainte sans fraude avérée, comme le rappelle l’analyse du contentieux de la crainte de fuite sans fraude. Si l’opérateur conserve encore vos données sans droit après résiliation, vous pouvez aussi demander au juge d’ordonner l’effacement : la cour d’appel de Montpellier a ainsi ordonné à une société de supprimer les messageries d’anciens salariés maintenues plus d’un an après leur départ, sous astreinte de 500 euros par jour de retard, par arrêt du 20 mars 2025 (RG 24/02397), en retenant un trouble manifestement illicite au sens de l’article 835 du code de procédure civile, qui permet de « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite ». Pour les lecteurs de Paris et d’Île-de-France, le tribunal judiciaire de Paris est la juridiction naturelle de l’action en réparation, la plainte peut être déposée dans tout commissariat parisien ou de petite couronne, et les délais pratiques dépendent de l’encombrement de chaque service : gardez les récépissés et ne laissez passer ni le délai de treize mois de contestation bancaire ni les délais de prescription de l’action civile.
Conclusion
La sanction de janvier 2026 établit officiellement, par deux décisions de la CNIL, que la sécurité des données des abonnés était insuffisante, que l’information des victimes était incomplète et que des millions de données d’anciens clients étaient conservées sans justification. Elle ne donne cependant droit à aucune indemnisation automatique : c’est à chaque personne concernée de vérifier son exposition, de protéger son compte bancaire, de déposer plainte en cas d’usage frauduleux, de saisir la CNIL si ses droits d’accès ou d’effacement restent lettre morte, et de demander au juge la réparation de son préjudice démontré avec des pièces précises. À la date de rédaction, aucune responsabilité civile de quiconque n’est établie dans votre dossier, les faits au-delà du constat de la CNIL restent à prouver, et vos contrats priment sur toute analyse générale : seul le juge, saisi de vos preuves, décidera si la violation a causé votre dommage et ce qu’elle vaut en euros.