Enforcement · French Data Protection Authority (CNIL) NL LLM context A cited markdown file you can paste into your AI assistant (ChatGPT, Claude, a RAG or project knowledge base) to ground it in this document. Contains: this document’s text, its sections with their topics, and the full text of every law provision it applies. Everything links back to its source on overview.legal — legal information, not advice.

FREE MOBILE: Onvoldoende technische en organisatorische maatregelen om de informatiebeveiliging te waarborgen.

27 miljoen euro boete - Frans Nationaal Instituut voor Gegevensbescherming (CNIL).

€27,000,000 Fine
FREE MOBILE
FRANCE
Insufficient technical and organisational measures to ensure information security
Art. 5 GDPR Art. 32 GDPR
Media, Telecommunicatie en Broadcasting.
Security Data Breaches Access Controls Telecommunications Data Controller Accountability Controllers Personal Data
Jan 8, 2026
Summary

De Franse toezichthouder CNIL heeft telecomaanbieder FREE Mobile een boete van 27.000.000 euro opgelegd wegens ontoereikende technische en organisatorische maatregelen ter beveiliging van persoonsgegevens, nadat een datalek plaatsvond door een inadequate authenticatiemethode voor VPN-toegang op afstand. Daarnaast voldeed de partij niet aan de verplichting om betrokkenen adequaat te informeren over het datalek, ontbrak essentiële informatie in de melding, en werden persoonsgegevens niet voldoende geordend en bewaard voor een beperkte periode. De overt

How it connects

Related across sources

Guidance EDPB Annual Report 2021 EDPB Guidance EDPB Annual Report 2019 EDPB Guidance EDPB Annual Report 2025 EDPB Literature If it ain’t broke, don’t fix it? Ten improvements for the upcoming tenth anniversary of the General Data Protection Regulation Computer law & security review Guidance EDPB Annual Report 2022 EDPB Guidance Guidelines 9/2022 on personal data breach notification under GDPR EDPB

Full text

De Franse autoriteit voor gegevensbescherming (CNIL) heeft FREE MOBILE een boete van 27.000.000 euro opgelegd. De verantwoordelijke partij heeft een datalek geleden als gevolg van onvoldoende technische en organisatorische maatregelen. Dit werd veroorzaakt door het gebruik van een ontoereikende authenticatiemethode om verbinding te maken met hun VPN voor werken op afstand. Bovendien heeft de verantwoordelijke partij de betrokken personen niet voldoende geïnformeerd, omdat essentiële informatie ontbrak in de e-mail met informatie. Ten slotte heeft de verantwoordelijke partij nagelaten om gegevens adequaat te ordenen en persoonsgegevens slechts voor een beperkte periode te bewaren.

GDPR-artikelen: Artikel 5 (1) e) GDPR, Artikel 32 GDPR

Deze inhoud is automatisch vertaald met behulp van machinevertaling. De originele versie is beschikbaar in de brontaal.

Original document at the source www.legifrance.gouv.fr

Similar Content