Free, un fournisseur d’accès internet français.
Filiale du groupe Iliad, l’entreprise Free [1] a pour activité principale d’être : « un fournisseur d’accès à Internet, un opérateur de téléphonie Mobile et un fournisseur d’infrastructures Cloud, IoT et Services Managés ».
La formation restreinte de la Cnil, organe chargé de prononcer des sanctions, a estimé que la société ne respectait pas les droits des personnes et la sécurité des données de ses utilisateurs et manquait donc aux dispositions prévues par le RGPD.
Les manquements au RGPD sanctionnés par la Cnil.
Le contrôle de la Cnil a été réalisé après le dépôt de plusieurs plaintes concernant les difficultés rencontrées par des personnes dans la prise en compte, par Free, de leurs demandes d’accès et d’effacement de leurs données personnelles.
La Cnil a sanctionné la société en relevant plusieurs manquements aux obligations prévues par le règlement européen :
Un manquement à l’obligation de respecter le droit d’accès des données personnelles de ses utilisateurs.
L’autorité relève un manquement concernant l’exercice du droit d’accès aux données personnelles, mentionné aux articles 12 [2] et 15 du RGPD [3], qui impose à la société Free, en tant que responsable du traitement, la transparence des informations et des communications et modalités de l’exercice des droits de ses utilisateurs et le droit d’accès à leurs données personnelles.
Il a été constaté que Free n’aurait pas donné suite aux demandes formulées par les plaignants dans les délais, ou leur a apporté une réponse incomplète concernant la source de leurs données.
- Un manquement à l’obligation de respecter le droit à l’effacement des données personnelles de ses utilisateurs
L’autre manquement observé concerne le droit à l’effacement des données des personnes concernées, prévu l’article 17 [4] du RGPD.
En ne traitant pas les demandes des plaignants dans des délais imposés par le règlement, la société Free aurait manqué à son obligation.
- Un manquement à l’obligation d’assurer la sécurité des données personnelles.
Pour établir ce manquement, la Cnil [5] a constaté que :
« le mot de passe généré lors de la création d’un compte utilisateur sur le site de la société, ou lors d’une procédure récupération ou de renouvellement, manquait de « robustesse » ;
les mots de passe générés pendant la création d’un compte utilisateurs étaient stockés en clair dans la base de données des abonnés de la société ;
les mots de passe des utilisateurs étaient transmis par courrier postal ou courriel sans qu’ils ne soient temporaires et que la société impose de les changer ;
le mot de passe associé au compte de messagerie électronique « free.fr » était transmis par la société par courriel ou courrier postal à l’utilisateur et indiqué en clair dans le corps du message ;
4 100 boîtiers « Freebox » détenus par d’anciens abonnés ont été réattribués à de nouveaux clients sans que les données de ces anciens abonnés qui y auraient été stockées aient été correctement effacées ».
Free aurait donc manqué à son obligation d’assurer la sécurité des données personnelles [6] prévu à l’article 32 [7] du RGPD, qui impose au responsable du traitement de « mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté ».
- Un manquement à l’obligation de documenter une violation de données personnelles.
L’autorité relève que la société n’a pas documenté les mesures prises pour remédier au problème lié à « la remise en circulation de 4 137 boîtiers mal reconditionnés » qui constituait une violation des données personnelles.
La société aurait ainsi manqué à son obligation de documenter une violation de données personnelles, prévue à l’article 33 [8] du RGPD.
Les sanctions prononcées.
L’autorité de contrôle prononce une amende de 300 000 euros [9], rendue publique, à l’égard de Free et justifie cette sanction par :
« la nature et la gravité des manquements, les catégories de données personnelles concernées par ces manquements ainsi que la taille et la situation financière de la société. Sa publicité se justifie par la nécessité de rappeler l’importance de traiter les demandes de droit des personnes et de sécuriser les données des utilisateurs ».
En complément de l’amende administrative et malgré des mesures prises pour respecter les dispositions des articles 17, 32 et 33 du RGPD, la formation restreinte a également enjoint à la société Free de :
« se mettre en conformité concernant la gestion des demandes de droit d’accès des personnes et d’en justifier sous un délai de 3 mois à compter de la notification de la délibération, sous astreinte de 500 euros par jour de retard ».
La formation restreinte estime que cette injonction se justifie au regard de l’absence de fourniture, à la date de la clôture de l’instruction :
« des éléments permettant à la société d’attester d’une mise en conformité de ses traitements avec les dispositions de l’article 15 du RGPD ».
La Cnil avait déjà sanctionné la société Free mobile, le 28 décembre 2021, pour ne pas avoir respecté les droits des personnes et la sécurité des données de ses utilisateurs.
