La CNIL a publié, le 2 octobre 2026, un guide très concret sur l’indemnisation après une violation de données personnelles. Il arrive neuf mois après les sanctions de 42 millions d’euros prononcées contre Free Mobile et Free à la suite de la cyberattaque d’octobre 2024. La question n’est donc plus seulement de savoir si l’opérateur a fauté. Elle est de savoir si un abonné peut être indemnisé — et à quelles conditions.
Réponse courte : oui, c’est possible, mais jamais automatique. L’amende infligée par la CNIL ne constitue pas une cagnotte distribuée aux victimes. Il faut démontrer une violation du RGPD, un préjudice personnel réel et un lien entre les deux. Sur Zorrooo, les récits liés à la fuite servent à documenter des situations, pas à présumer qu’une indemnisation est acquise.
À retenir : l’exposition d’un IBAN ou de données d’abonnement ne suffit pas, à elle seule, à fixer une indemnité. Conservez les messages de Free, les tentatives de fraude, les frais supportés et toute preuve d’un trouble concret.
Consultez les dossiers Free et déposez gratuitement votre situation pour la rapprocher de problématiques similaires, sans publier vos données sensibles.
Pourquoi l’indemnisation revient-elle dans l’actualité ?
Le fait déclencheur n’est pas une nouvelle sanction contre Free. Les deux décisions datent du 13 janvier 2026. La CNIL a condamné Free Mobile à 27 millions d’euros et Free à 15 millions d’euros, notamment pour des mesures de sécurité jugées insuffisantes et des manquements dans l’information des personnes concernées.
L’attaque d’octobre 2024 avait permis un accès à des données liées à 24 millions de contrats d’abonnés, dont des coordonnées bancaires de type IBAN. La CNIL indique également avoir reçu plus de 2 500 plaintes. Ces chiffres décrivent l’ampleur de la fuite et du contrôle administratif. Ils ne disent pas combien de clients ont subi un dommage indemnisable.
Le vrai changement éditorial date du 2 octobre 2026 : la CNIL a publié une fiche dédiée aux cas dans lesquels une violation de données peut ouvrir droit à indemnisation. Elle précise aussi qui peut indemniser. Spoiler : pas la CNIL.
Une amende de 42 millions ne rembourse aucun abonné
La confusion est tentante. Une entreprise reçoit une sanction spectaculaire ; les personnes touchées imaginent qu’une part leur revient. Ce n’est pas le mécanisme. L’amende sanctionne des manquements au RGPD et revient à l’État. Elle ne répare pas, individuellement, le préjudice d’un client.
Pour obtenir des dommages et intérêts, l’abonné doit demander réparation à l’entreprise, puis saisir le tribunal judiciaire si aucun accord n’est trouvé. Une plainte à la CNIL peut faire constater ou sanctionner un manquement. Elle ne remplace pas une action indemnitaire.
C’est un détail de procédure qui change tout : on peut avoir été concerné par la même fuite que des millions de personnes sans subir le même dommage qu’elles. Un fraudeur peut exploiter les données d’une personne, en cibler une autre sans succès et ne jamais contacter une troisième.
Les trois conditions à prouver
1. Une violation du RGPD
Dans le dossier Free, les décisions de la CNIL documentent des manquements précis. Mais une demande individuelle doit encore expliquer en quoi la situation de l’abonné s’inscrit dans cette violation : données concernées, information reçue, période et exposition alléguée.
2. Un préjudice réel
Le dommage peut être matériel : frais bancaires, sommes débitées, coût de démarches indispensables ou perte financière. Il peut aussi être moral : anxiété, perte de contrôle sur ses données, atteinte à la réputation. La CNIL rappelle qu’aucun seuil minimal de gravité ne peut être imposé au préjudice moral. Mais celui-ci doit être réel, pas simplement hypothétique.
3. Un lien de causalité
Il faut enfin relier le dommage à la violation. C’est souvent le point le plus disputé. Un appel frauduleux reçu après la fuite est un indice, pas toujours une preuve suffisante. La date, le contenu du message, les données connues par l’escroc et les démarches effectuées peuvent consolider le dossier.
Quelles preuves conserver ?
Commencez par archiver le courriel ou le SMS par lequel Free vous a informé de l’incident. Gardez aussi les relevés bancaires, captures de messages, numéros appelants, dépôts de plainte, oppositions et échanges avec la banque ou l’opérateur. Ne diffusez pas votre IBAN complet dans un espace public.
Si une opération bancaire non autorisée apparaît, la contestation auprès de la banque reste une démarche distincte de la demande liée au RGPD. En cas de téléphone compromis ou de faux écran bancaire, notre article sur les malwares Android et les fraudes bancaires détaille les premières mesures de sécurité. Pour un conflit contractuel avec l’opérateur, le guide sur la box Internet en panne explique comment séparer l’incident technique de la demande de remboursement.
Vous avez un litige à résoudre ?
Déposez votre situation sur Zorrooo, le premier réseau social du droit : c’est gratuit, vous obtenez une première aide et la force du collectif.
Déposer mon litigeFaut-il agir seul ou collectivement ?
La réforme entrée en vigueur le 30 avril 2025 a élargi l’action de groupe. Certaines associations agréées et organisations habilitées peuvent agir pour faire cesser un manquement ou obtenir réparation au nom de plusieurs personnes placées dans une situation comparable.
Cela ne signifie pas qu’une action de groupe contre Free serait automatiquement ouverte ou gagnée. Avant de rejoindre une procédure, vérifiez l’identité de l’organisateur, son habilitation, le périmètre des personnes concernées et les préjudices couverts. Méfiez-vous des formulaires qui promettent une somme fixe sans examiner votre situation.
Ce que montrent les dossiers Free sur Zorrooo
La page publique consacrée à Free sur Zorrooo rassemble des litiges de natures différentes : facturation, résiliation, qualité de service et témoignages liés au piratage. Ces publications permettent d’identifier des blocages comparables. Elles ne mesurent pas la fréquence des problèmes chez tous les abonnés et ne prouvent pas, à elles seules, un préjudice indemnisable.
Deux signalements publics évoquent directement la fuite de données. Ils constituent des alertes utiles, pas des décisions de justice. La bonne méthode consiste à partir du cas personnel, à réunir les pièces, puis à comparer les réponses apportées par l’entreprise. Le spectaculaire attire l’attention ; le dossier prouvé obtient davantage de résultats.
Quelle preuve fournir pour un préjudice lié à la fuite de données Free ?
Preuves à fournir. Distinguez la notification de violation, les tentatives de fraude et les conséquences personnelles que vous demandez à réparer. Conservez chaque document avec sa date et expliquez le lien invoqué entre l’exposition des données et le dommage. Ne présentez pas une sanction administrative comme le calcul de votre indemnisation.
Sur Zorrooo, décrivez les conséquences documentées plutôt que de reprendre le montant global de l’amende. Masquez les données d’abonnement, l’IBAN et les pièces d’identité dans tout récit public.
Questions fréquentes
La sanction de la CNIL me donne-t-elle automatiquement droit à de l’argent ?
Non. Elle établit et sanctionne des manquements administratifs. Une indemnisation individuelle suppose un préjudice réel et un lien avec la violation.
Puis-je demander réparation à la CNIL ?
Non. La CNIL peut contrôler et sanctionner, mais elle n’accorde pas de dommages et intérêts. La demande doit être adressée à l’entreprise puis, si nécessaire, au tribunal judiciaire.
Le simple risque de fraude suffit-il ?
Un risque abstrait ne suffit généralement pas. Il faut décrire un dommage réel, même moral, et apporter des éléments permettant de le rattacher à la fuite.
Votre dossier Free reste sans réponse ? Décrivez les faits, les dates et les démarches déjà effectuées. Masquez toujours vos données bancaires et pièces d’identité.
Voir les cas similaires et déposer mon litige Free sans frais
