L’autorité de régulation frappe fort en ce début d’année. Suite à une intrusion massive survenue en octobre 2024 dans les systèmes d’information du groupe Iliad, la Commission nationale de l’informatique et des libertés (CNIL) inflige une amende d’un montant total de 42 millions € aux opérateurs Free Mobile (27 millions € ) et Free (15 millions €).
Retour sur les faits. En octobre 2024, un attaquant s’infiltre dans le système d’information des deux sociétés compromettant les données personnelles de 24 millions de contrats d’abonnés. Les données exposées incluaient notamment des IBAN pour les clients disposant d’abonnements auprès des deux entités simultanément.

L’ampleur de l’incident suscite plus de 2 500 plaintes d’abonnés et déclenche un contrôle approfondi de la CNIL qui identifie plusieurs manquements graves au Règlement général sur la protection des données (RGPD), chaque société étant tenue responsable du traitement des données de ses propres clients.

Des failles de sécurité élémentaires

La formation restreinte de la CNIL, organe compétent pour prononcer les sanctions, constate aussi l’absence de mesures de sécurité fondamentales qui auraient pu compliquer l’attaque. Les enquêteurs relèvent notamment que la procédure d’authentification pour accéder aux réseaux privés virtuels (VPN) des deux sociétés, utilisés pour le télétravail des employés, présentait des faiblesses importantes en termes de robustesse.

Par ailleurs, les dispositifs de détection des comportements anormaux sur les systèmes d’information se sont révélés inefficaces. La CNIL a jugé que ces mesures n’étaient pas adaptées au volume et à la sensibilité des données traitées par les deux opérateurs.

La commission reconnait cependant qu’ils ont renforcé leur niveau de sécurité en cours de procédure et leur impose d’achever la mise en œuvre de ces nouvelles mesures sous trois mois.

Une communication insuffisante auprès des victimes

Le régulateur pointe également du doigt les lacunes dans la communication auprès des clients. Si Free et Free Mobile ont déployé un dispositif d’information à deux niveaux (courriel initial puis numéro vert et service dédié), le courriel envoyé aux abonnés ne contenait pas toutes les informations obligatoires prévues par l’article 34 du RGPD.

Selon la CNIL, ces omissions empêchaient les victimes de comprendre directement les conséquences de la violation et les mesures de protection qu’elles pouvaient adopter pour limiter les risques.

Free Mobile épinglée pour conservation excessive de données

Un troisième manquement est retenu spécifiquement contre Free Mobile concernant la durée de conservation des données. Au moment du contrôle, l’opérateur n’avait pas mis en place de procédures permettant de trier et supprimer les données des anciens abonnés une fois leur conservation devenue inutile.

La CNIL a établi que Free Mobile conservait des millions de données d’abonnés sans justification pendant des durées excessives, en violation de l’article 5 du RGPD. L’opérateur a depuis initié un tri pour ne conserver que les données nécessaires au respect des obligations comptables pendant dix ans, et a supprimé une partie des données conservées de manière excessive. La société dispose de six mois pour finaliser cette opération de purge.

Image : © Cnil 

The post RGPD : la Cnil inflige une amende de 42 millions € à Free et Free Mobile appeared first on Silicon.fr.

CNIL sanctionne FREE et FREE Mobile après une fuite de données massive touchant 24 millions d’abonnés et révélant de graves failles de sécurité....

Disposer d’une « généalogie » des modèles d’IA ouverts favoriserait-il l’exercice des droits RGPD ?

La CNIL en fait le pari. Elle expérimente en tout cas un tel outil. Fondé sur les données de la plate-forme Hugging Face, il permet de visualiser l’ascendance et la descendance des modèles. En ligne de mire, les personnes concernées par la mémorisation de leurs informations personnelles… et par le risque de ruissellement de ces informations entre les modèles.

La base de données sous-jacente est en accès libre. Mise à jour quotidiennement, elle contient des éléments fournis la plupart du temps de manière déclarative par les entités qui publient les modèles – et les datasets. On en retrouve déjà le contenu à plusieurs niveaux de l’explorateur Hugging Face, dont des arborescences sur les pages des modèles.

Deux visualisations et un mode « expert »

Sur ce socle (plus exactement sur la base de données telle qu’elle était au 1^er septembre 2025), la CNIL a structuré un graphe de connaissances. Elle y distingue cinq types d’entités : modèles, datasets, personnes, organisations et utilisateurs (qui sont soit une personne, soit une organisation).

L’outil n’affiche pas immédiatement le graphe. Il fournit d’abord quelques indicateurs à propos du modèle recherché (sa date de publication et la tâche qu’il remplit, ainsi que le nombre de téléchargements, de citations et de mentions « j’aime »), puis présente les parents et les enfants importants, en priorisant ceux qui ont le plus de citations, puis de téléchargements.

Un mode « recherche experte » permet de filtrer le graphe (types de nœuds, types de relations) et de le télécharger.

Hugging Face invité à permettre une meilleure identification des responsables de publication

On est censé pouvoir trouver un modèle en recherchant son nom ou l’identifiant de son repo. Dans la pratique, seule cette dernière option apparaît produire des résultats. La saisie semi-automatique accuse une certaine latence (plusieurs secondes) et des erreurs surviennent parfois.

La CNIL envisage une fonctionnalité d’envoi automatisé de requête à tous les modèles suspectés. L’analyse de leurs réponses permettrait théoriquement de déterminer lesquels régurgitent des données personnelles.
Un formulaire pourrait ensuite permettre de contacter les auteurs des modèles problématiques. Une évolution de la plate-forme Hugging Face pourrait toutefois être nécessaire pour une meilleure identification des responsables de publication, suggère la commission…

À consulter en complément :

L’IA générative peut-elle vraiment « désapprendre » ?
IA et RGPD : la CNIL boucle son corpus de fiches pratiques
De France Travail à la RATP, les leçons du « bac à sable » IA de la CNIL

Illustration générée par IA

The post IA et RGPD : la CNIL joue les généalogistes appeared first on Silicon.fr.

CNIL : 1,7 M€ à Nexpubica pour PCRM, failles connues, correctifs tardifs et données sociales sensibles.

Mondial Relay et colis privé signalent un accès non autorisé : données de contact et suivi colis potentiellement exposés....

Cinq candidats sanctionnés par la CNIL pour prospection politique 2024 : consentement, info, opposition, droits, sécurité.

Alerte SFR : accès non autorisé à un outil fixe, données clients possiblement exposées, CNIL saisie, plainte déposée....

Intrusion chez MédecinDirect : jusqu’à 300 000 utilisateurs concernés par une fuite de données, entre éléments médicaux exposés et questions sur la sécurité de l’e-santé....