La Commission nationale de l’informatique et des libertés (Cnil) sanctionne l’opérateur Free d’une amende de 300 000 €. Elle lui reproche de ne pas avoir respecté les droits des personnes et la sécurité des données de ses utilisateurs. En ce sens, plusieurs manquements au Règlement général sur la protection des données (RGPD) ont été retenus.
Pour des motifs similaires dans leur globalité, la Cnil avait prononcé fin 2021 une amende d’un même montant contre de Free Mobile. Cette sanction pour la division mobile de l’opérateur avait été rendue publique en début d’année. Dans les deux cas, la Cnil avait été saisie de plaintes entre octobre 2018 et novembre 2019.
Errances avec les mots de passe et des boîtiers Freebox
Dans un communiqué, la Cnil évoque notamment des manquements en rapport avec les droits d’accès et d’effacement pour les données personnelles, la faible robustesse des mots de passe lors de la création d’un compte utilisateur sur le site de Free, des problèmes de stockage et de transmission des mots de passe en clair (par email ou courrier postal).
Il est aussi fait mention de la remise en circulation d’environ 4 100 boîtiers Freebox mal reconditionnés. Détenus par d’anciens abonnés Freebox, les boîtiers avaient été réattribués à de nouveaux abonnés, sans l’effacement correct de données stockées. Des photos, vidéos personnelles ou l’enregistrement des programmes de télévision sur le disque dur de la Freebox sont cités en exemple.
Pour le cas des boîtiers Freebox mal reconditionnés, la Cnil a par ailleurs retenu un manquement à l’obligation de documenter une violation de données personnelles.
Encore un problème à régler
Avec la plupart des manquements reprochés, la Cnil indique que Free avait pris des mesures au cours de la procédure afin de se mettre en conformité. Il y a cependant une injonction de mise en conformité à propos de la gestion des demandes de droit d’accès des personnes aux données les concernant.
Free dispose d’un délai de 3 mois pour se mettre en conformité et encourt sinon une astreinte de 500 € par jour de retard.