Elle cite les exemples de «faible robustesse» des mots de passe, de «stockage et transmission en clair» des mots de passe, ou encore la «remise en circulation» d'environ 4100 boîtiers Freebox «mal reconditionnés».
 
L'annonce de cette amende significative de 300.000 euros, qui prend en compte «la taille et la situation financière de la société», se justifie par «la nécessité de rappeler l'importance de traiter les demandes de droit des personnes et de sécuriser les données des utilisateurs», a encore souligné la Commission. En janvier dernier, la filiale du groupe Iliad avait déjà été sanctionnée par la Cnil d'une amende de 300.000 euros pour des motifs similaires.

la violation de données constituée par la remise en circulation de 4 137 boîtiers mal reconditionnés au sein d’un registre de violation de données. La documentation communiquée ultérieurement en réponse aux demandes de la délégation de contrôle ne permettait pas de savoir si l’ensemble des boîtiers " Freebox " dont le reconditionnement n’avait pas été effectif avaient été rapatriés et, le cas échéant, à quelle date.

le fait qu’une Freebox de remplacement ait été adressée aux 322 abonnés n’ayant pas restitué leurs anciens boîtiers ne permet pas d’écarter le risque que des ces derniers aient eu accès aux données d’anciens abonnés. En effet, à la date du 31 mars 2022 – soit plus de trois ans après le signalement de l’incident - la société indiquait que ce risque n’était toujours pas écarté puisque " 322 [boîtiers] sont toujours utilisés par les abonnés sans que nous [la société] sachions si les données enregistrées sont celles de l’abonné antérieur ou de l’abonné qui l’utilise ". En outre, seule la désactivation des 322 Freebox non restitués a permis d’écarter ce risque ; or cette désactivation a eu lieu en juillet 2022, soit plus de trois ans après le signalement de l’incident.