Free, 5,1 millions d'IBAN dans la nature : pourquoi votre risque persiste

Ce qu'on sait de la fuite Free / Free Mobile

Fin octobre 2024, Free et Free Mobile ont confirmé une intrusion dans leurs systèmes ayant exposé les données de leurs abonnés. L'origine technique est documentée par la CNIL : l'intrusion s'est faite via un VPN dont l'authentification était insuffisamment robuste, faille relevée dans la décision de sanction comme manquement caractérisé à l'article 32 du RGPD (sécurité du traitement).

En mai 2026, la CNIL a sanctionné Free et Free Mobile à hauteur de 42 millions d'euros, soit l'amende télécom la plus lourde jamais prononcée en France. La décision retient un défaut de sécurité aggravé par la centralisation des IBAN d'abonnés sans chiffrement au repos suffisant.

Pourquoi 42 M€ ? La CNIL a considéré que la centralisation des IBAN sans chiffrement au repos constituait une aggravation déterminante du manquement à l'article 32. À l'inverse d'un mot de passe que l'on peut changer en quelques clics, un IBAN compromis reste exploitable tant que le compte bancaire est ouvert — d'où la gravité reconnue par l'autorité.

Quelles données ont fuité ?

La CNIL a documenté la liste précise des champs exposés. Mauvaise nouvelle : les IBAN de 5,1 millions d'abonnés ont été emportés, en plus de toute l'identité civile et des données contractuelles. Bonne nouvelle : ni mot de passe, ni numéro de carte bancaire, ni contenu des communications.

— Exposées

— Préservées

Ce que Sheeldy demande, et ce que Free doit obligatoirement faire

Sheeldy envoie à Free une demande RGPD cumulative, c'est-à-dire qu'elle invoque deux articles à la fois pour maximiser ce que vous obtenez :

• Article 17 du RGPD — droit à l'effacement : Free doit supprimer l'intégralité de votre compte et des données qu'il détient sur vous, dès lors qu'au moins l'un des motifs s'applique (contrat résilié, retrait du consentement, fuite récente questionnant la licéité du maintien…).
• Article 21 du RGPD — droit d'opposition à la prospection : Free doit cesser sans délai toute communication marketing, newsletter et profilage publicitaire. Ce droit est absolu et inopposable — aucune justification recevable de la part de Free.

Ce qui est garanti immédiatement (art. 21) : l'arrêt de toutes les communications marketing, newsletters, SMS commerciaux et utilisation de vos données pour du profilage publicitaire. Free n'a pas le droit de refuser.

Ce qui dépend des obligations comptables et télécom (art. 17) : la suppression complète de votre compte et de votre historique. Free peut conserver certaines données pour répondre à ses obligations comptables, fiscales et télécom (article 17.3.b RGPD ; obligations de conservation des données de trafic au titre du Code des postes et communications électroniques). En pratique, l'essentiel des données identifiantes et commerciales doit être supprimé, mais les traces nécessaires aux obligations légales peuvent rester archivées.

Le cas particulier de l'IBAN — pourquoi ce n'est pas un mot de passe. Un mot de passe compromis se change en une minute. Un IBAN, lui, est lié à votre compte bancaire pendant toute sa durée de vie : en changer revient à fermer le compte, refaire tous vos prélèvements, prévenir votre employeur et tous vos créanciers. C'est pour cette raison que la CNIL a sanctionné aussi lourdement Free, et c'est pour la même raison qu'obtenir l'effacement chez Free, même tardivement, reste pertinent : tant que vos données dorment dans des sauvegardes, le risque persiste.

Free dispose d'un mois pour répondre formellement (article 12.3 RGPD), prolongeable à trois mois sur motivation. Sans réponse à J+30, vous pouvez saisir la CNIL.