La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ;

Etant aussi présents MM. Jean-Marie COTTERET, Jean-François CARREZ et Dominique RICHARD, membres ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n°2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n°2011-319 du 28 décembre 2011 de la Présidente de la Commission nationale de l’informatique et des libertés ordonnant une mission de vérification auprès de la société X ;

Vu la décision n°2011-317C du 28 décembre 2011 de la Présidente de la Commission nationale de l’informatique et des libertés ordonnant une mission de vérification auprès de la société Z ;

Vu la décision du 12 janvier 2012 de la Présidente de la Commission nationale de l’informatique et des libertés désignant M. Jean-Paul AMOUDRY, Commissaire, membre de la CNIL, en qualité de rapporteur ;

Vu le rapport de M. Jean-Paul AMOUDRY, commissaire rapporteur, adressé par lettre recommandée avec accusé de réception à la société X, le 22 février 2012 ;

Vu les observations écrites versées par la société le 23 mars 2012, ainsi que les observations présentées oralement lors de la séance de la formation restreinte du 29 mars 2012 ; Vu les autres pièces du dossier ; Ayant entendu, lors de la réunion de la formation restreinte du 29 mars 2012 : – M. Jean-Paul AMOUDRY, commissaire, en son rapport ;

– Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement, en ses observations ;

– MM. xxx, et xxx, pour Y, M. xxx de la société X, et M. xxx de D, assistés de Mes xxx et xxx, avocats, leurs conseils, en la défense de la société ;

Ces derniers ayant pris la parole en dernier,

À adopté la décision suivante :

I. FAITS ET PROCÉDURE

La société X (ci-après X) appartient au groupe Y, dont elle assure la maîtrise d’œuvre de l’exploitation de son système d’information. A ce titre, elle est propriétaire et gère le système d’information messagerie […] utilisé par quinze fédérations de D et l’ensemble des banques E, ainsi que toutes les filiales, dont les organes de presse du groupe acquis en 2010.

Le 28 décembre 2011, est paru dans l’hebdomadaire le Canard Enchainé un article affirmant qu’il avait été possible à des journalistes du groupe de presse contrôlé par le groupe Y d’avoir accès, à partir de leurs ordinateurs, aux données de milliers de clients d’établissements de crédit du même groupe. Les informations auxquelles ceux-ci avaient ainsi eu accès portaient par exemple sur des actions, comptes en Suisse et projets d’optimisation fiscale, des formulaires nominatifs, tamponnés par le fisc, des protestations des clients mécontents ou encore une liste nominative de 400 clients ayant acheté de l’or. Selon l’article, ces journalistes ont ainsi pu avoir libre accès à des renseignements confidentiels, de relevés d’identité bancaire, de contrats d’assurance, de courriels privés, de conseils fiscaux, de transactions ou d’achats de titres.

Le lendemain, soit le 29 décembre 2011, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) a fait procéder à un contrôle sur place dans les locaux de la société X (décision n°2011-319), ainsi qu’à un contrôle dans les locaux du journal Z, membre du groupe Y (décision n°2011-317C). Ces deux contrôles ont permis d’établir les circonstances dans lesquelles l’accès litigieux a pu se produire – en l’occurrence une erreur dans la définition des habilitations d’accès à des dossiers publics de la messagerie […] utilisée par les employés et collaborateurs du groupe. Les échanges s’étant ensuivis entre la CNIL et la société X postérieurement à ces contrôles ont permis à la Commission d’obtenir copie de l’ensemble des dossiers publics de la messagerie […] concernés par l’erreur susmentionnée, dans leur état préalable à la date de l’accident, préalablement expurgés des éléments couverts par le secret bancaire. Un rapport d’audit portant sur les dossiers […] litigieux a par ailleurs été communiqué par le groupe Y à la Commission. L’ensemble de ces pièces a fait l’objet d’une exploitation par les services de la CNIL.

Au vu des faits précités, la Présidente de la Commission a, par décision en date du 12 janvier 2012, désigné M. Jean-Paul AMOUDRY, Commissaire, membre de la CNIL, en qualité de rapporteur, afin d’engager à l’encontre de la société une procédure de sanction fondée sur le I de l’article 45 de la loi du 6 janvier 1978 modifiée.

Dans le cadre de son instruction, le rapporteur a procédé, le 9 février 2012, à l’audition des représentants et des conseils de la société X, en application de l’article 74 alinéa 2 du décret n° 2005-1309 du 20 octobre 2005 modifié. Cette audition visait, entre autres, à préciser le rôle de ladite société dans la mise en œuvre de la messagerie […] du groupe Y.

À l’issue de son instruction, considérant que la société avait manqué à l’obligation lui incombant d’assurer la sécurité et la confidentialité des données en application de la loi du 6 janvier 1978 modifiée, le rapporteur a fait notifier à la société par huissier, le 22 février 2012, un rapport détaillant le manquement allégué et l’informant qu’il sollicitait de la formation restreinte de la Commission qu’elle prononce un avertissement public à son encontre.

La société, par courrier en date du 23 mars 2012, a adressé à la Commission ses observations sur le rapport. Elle a également présenté ses observations orales en défense lors de la séance de la formation restreinte du 29 mars 2012.

A l’issue de cette procédure contradictoire, après en avoir délibéré, la formation restreinte a adopté la décision dont la teneur suit.

II. MOTIFS DE LA DÉCISION

1. Sur les irrégularités alléguées de procédure

Au préalable, il appartient à la formation restreinte de se prononcer sur les allégations formulées par la société quant à l’éventuelle irrégularité de la procédure de sanction.

– La société affirme, en premier lieu, que la notification préalable, au Procureur de la République territorialement compétent, du contrôle sur place effectué par les contrôleurs de la Commission n’aurait pas été effectuée conformément aux dispositions des articles 44 de la loi du 6 janvier 1978 modifiée et 61 du décret d’application de cette même loi. En effet, elle soutient que la notification réalisée en l’espèce ne viserait pas la société X, mais des sociétés tierces.

La formation restreinte décide de ne pas donner droit à cet argument. Les dispositions précitées n’imposent en effet aucunement aux contrôleurs de la CNIL d’adresser au Procureur de la République territorialement compétent d’autres éléments que la date, l’heure, le lieu et l’objet du contrôle (article 61 du décret n°2005-1309 du 20 octobre 2005), à l’exclusion, par conséquent, de l’identité de l’organisme contrôlé. Cette précision s’avère en effet inutile, dès lors qu’elle ne conditionne pas l’éventuelle intervention du juge lors du contrôle de la CNIL, et que l’identification du responsable de traitement peut précisément n’être réalisée qu’à la suite de la tenue de celui-ci.

– La société affirme, en second lieu, que l’information du Procureur n’a pas été faite dans le délai requis par l’article 61 du décret susvisé, lequel prévoit que le procureur de la République est informé au plus tard vingt-quatre heures avant la date à laquelle doit avoir lieu le contrôle sur place.

En l’espèce, il est établi que l’information du Procureur a bien été effectuée la veille de la tenue du contrôle. En tout état de cause, la formation restreinte estime que l’éventuel vice de procédure résultant d’un défaut d’information du Procureur de la République dans le délai requis ne serait pas de nature à affecter la légalité du contrôle opéré, lequel était motivé par l’urgence et la gravité des faits. En effet, la société n’aurait subi aucun préjudice du fait de ce défaut d’information du Procureur dans les délais, dès lors qu’elle était par ailleurs été explicitement informée de son droit de s’opposer au contrôle.

– La société soutient enfin, en troisième lieu, que le procès-verbal de contrôle ne lui aurait pas été notifié conformément à l’article 65 du décret susvisé, qui prévoit que lorsque la visite a lieu avec l’autorisation et sous le contrôle du juge en application du II de l’article 44 de la loi du 6 janvier 1978 susvisée, copie du procès-verbal de la visite lui est adressée par le président de la commission.

Sur ce point, la formation restreinte constate que les procès-verbaux des deux contrôles diligentés le 29 décembre 2011 ont été signés par les responsables des lieux dès leur rédaction achevée, sur les lieux mêmes des opérations de contrôle effectuées, et qu’une copie leur en a été remise aussitôt. Dans ces conditions, il était inutile de procéder à la notification ultérieure des mêmes documents par lettre recommandée avec accusé de réception. C’est donc en vain que la société tente d’exciper de ce défaut de notification une cause de nullité de la procédure.

– La formation restreinte considère, dans ces conditions, que les deux contrôles diligentés en l’espèce ne sont entachés d’aucune irrégularité, et que la société n’est pas fondée à arguer de la nullité de la procédure.

2. Sur le manquement à l’obligation d’assurer la sécurité et la confidentialité des données

Aux termes de l’article 34 de la loi du 6 janvier 1978 modifiée, le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.

Il appartient à la formation restreinte de décider si la société a enfreint ces dispositions dans cette affaire.

– Au préalable, la formation restreinte relève que les faits litigieux se sont produits suite à l’intégration, au sein du groupe Y, des sociétés exerçant des activités médias et presse, aux fins de diversification de l’activité historique bancaire du groupe. Afin de permettre aux nouvelles activités acquises, présentées comme étant dans une situation économique précaire, de réaliser des économies, le système de messagerie du groupe a été modifié pour que tous les salariés du groupe, quel que soit leur secteur d’activité ou leur entité d’appartenance, y soient intégrés. De ce fait, l’ensemble de ces salariés a été intégré dans l’annuaire de la messagerie mutualisée et disposent d’une messagerie […] interne mutualisée.

La messagerie interne […] contient une fonctionnalité dossiers publics, qui permet à des équipes de travail ou des groupes d’utilisateurs de partager des informations sur un sujet commun à l’intérieur de la même organisation, notamment en stockant dans un même dossier public des courriers électroniques, des rendez-vous, des contacts, des tâches, des entrées de journal, des notes, des formulaires, des fichiers et des publications. En l’espèce, des dossiers publics ont pu être utilisés à des fins aussi variées que l’envoi de listes mensuelles des opérations d’achat et de vente d’or, la création de listes de clients avec leurs anciennes et nouvelles coordonnées bancaires à l’occasion de la migration informatique du groupe, des ordres de vente de titres par un client à un gestionnaire de comptes, des courriels échangés entre dirigeants des banques du groupe dans le cadre de réunions de la Fédération Bancaire Française ou de projets de communication institutionnelle, des confirmations d’opérations de paiement internationaux, etc.

Or, il s’avère que toute personne utilisant la messagerie du groupe Y disposait automatiquement du rôle d’auteur sur ces dossiers publics, dès leur création par les services compétents de la société, faute de restriction d’accès spécifiquement mise en œuvre par leurs propriétaires. De ce fait, le contenu de tout dossier public s’est trouvé librement accessible à l’intégralité des titulaires de compte de messagerie […] au sein du groupe. Ainsi, pendant près de deux ans, de nombreux documents et données confidentiels sont demeurés accessibles à l’ensemble des salariés du groupe, quel que soit la nature de leur activité (journalistique ou bancaire), soit 84 895 personnes au jour du contrôle.

– La société, qui ne conteste ni les faits ni sa qualité de responsable de traitement au sens de la loi du 6 janvier 1978 modifiée, se défend toutefois d’avoir commis la moindre faute quant à l’obligation de sécurité lui incombant en application de cette même loi.

– Elle soutient ainsi, en premier lieu, qu’elle a été victime d’un acte de malveillance interne qui la dédouane de toute responsabilité quant à la faille de sécurité relevée. Selon elle, seule une démarche active et complexe permettait aux utilisateurs de la messagerie du groupe d’avoir accès aux documents litigieux. En effet, les postes de travail n’étaient pas configurés pour avoir en lecture directe les dossiers publics de la messagerie ; selon elle, cette fonction étant par ailleurs peu utilisée, voire inconnue de la majorité des salariés du groupe. De ce fait, ce serait par malveillance et en faisant preuve de déloyauté et de mauvaise foi que des salariés de la société aurait accédé aux données, puis en aurait pris copie et les aurait divulguées aux journalistes du Canard Enchaîné, au lieu de se contenter de signaler cet accès à leur hiérarchie pour que celui-ci soit suspendu.

La formation restreinte ne peut donner droit à cet argument. Le fait qu’une éventuelle infraction pénale puisse être imputable à l’auteur des divulgations reprochées est sans incidence sur le fait de savoir si la société a, ou non, respecté l’obligation de sécurité des données qui lui incombait en propre, en sa qualité de responsable de traitement au sens de l’article 2 de la loi du 6 janvier 1978 modifiée.

Or, il est établi que l’origine de l’accès litigieux, depuis l’année 2010, qui a permis à potentiellement 84 895 personnes d’avoir accès à des données confidentielles, dont une grande partie était couverte par le secret bancaire, est imputable à la seule déficience de la société dans la configuration des dossiers publics de la messagerie.

En outre, la société ne saurait soutenir que l’accès aux dossiers publics nécessitait une démarche active et complexe, dès lors qu’il ressort des pièces du dossier que ceux-ci étaient visibles à gauche de l’écran de la messagerie dans le volet de navigation. Les noms des dossiers (par exemple […]) étaient ainsi visibles à l’écran de tous les collaborateurs du groupe, y compris de journalistes. La démarche requise pour avoir accès aux données ne revêtait donc aucun caractère de complexité, contrairement à ce que soutient la société.

– En deuxième lieu, la société soutient que, contrairement à ce qui lui est reproché, le degré de sensibilité des données auxquelles il a été possible d’accéder était très variable. Selon elle, il ne s’agissait que de données techniques issues de retraitements de données, correspondant à des traitements d’exception portant sur des situations particulières et ayant donné lieu à des échanges sur la messagerie ; seul un tiers des répertoires ainsi accessibles (soit 16 186 répertoires sur 51 214) contenaient des informations pouvant être qualifiées de sensibles, car contenant des informations sur des personnes protégées par le secret bancaire, ou à caractère technique ou général sur le groupe ; par ailleurs, l’ancienneté des documents leur aurait fait perdre leur pertinence et donc de leur sensibilité compte tenu de leur obsolescence, de même que certaines informations étaient inintelligibles pour des personnes extérieures au groupe compte tenu de leur caractère technique.

Sur ce, la formation restreinte relève, ce que la société ne conteste pas, qu’une très grande majorité des nombreux documents accessibles (soit 1 269 583 documents sur 1 686 489 au total) comportaient des éléments financiers relatifs aux clients des activités bancaires du groupe, dont la plupart relevaient du secret bancaire (revenus, patrimoine, situation fiscale, relevés d’identité bancaire (RIB), numéros de cartes bancaires, notamment). Si les données auxquelles il a été donné accès ont pu subir une certaine obsolescence au bout de la période de deux ans durant laquelle elles ont été accessibles, ce facteur n’en diminue pas pour autant leur sensibilité initiale, laquelle a pu, au demeurant, perdurer dans le temps.

Dans de telles circonstances, la société n’est pas recevable à minimiser l’importance du manquement reproché, le nombre et la sensibilité des informations ainsi rendues accessibles étant tous deux incontestables. – En troisième lieu, la société soutient que seule lui incombe une obligation de moyens quant à la sécurité du traitement des données dont elle est responsable, et que cette responsabilité ne saurait être engagée qu’à la condition de pouvoir démontrer qu’elle a commis une faute en ne mettant pas en œuvre les moyens nécessaires au respect de son obligation. Or, selon elle, elle a mis en place des procédures et des mesures de sécurité suffisantes pour répondre à son obligation de moyens.

A ce titre, elle soutient que la sécurité informatique en son sein étant soumis aux exigences du Règlement CRBF 97-02 et de la loi du 6 janvier 1978 modifiée, que sa politique de sécurité s’appuie sur la norme ISO 27001 et 27002, que ces différents dispositifs de sécurité sont mis aux normes, maintenus et testés régulièrement, que le paramétrage par défaut de la messagerie incombe à l’éditeur et non à elle-même, qu’elle a adopté une politique générale de sécurité, une charte utilisateurs et un recueil de déontologie qui rappelle qu’ il est interdit à tout utilisateur de (…) consulter, de divulguer et/ou de détourner de leur finalité des informations contenues et/ou provenant des fichiers informatiques constitués pour les besoins de l’entreprise , si bien qu’il ne pourrait lui être reproché tout au plus qu’une erreur organisationnelle non intentionnelle.

La formation restreinte ne saurait donner droit à cet argument. Aux termes de l’article 34 de la loi du 6 janvier 1978 modifiée, la société était tenue de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher (…) que des tiers non autorisés y aient accès .

D’une part, il est établi en l’espèce que des tiers non-autorisés ont eu accès à des informations des clients de la société auxquelles ils n’avaient pas vocation à avoir accès, en particulier en ce qui concerne des données de nature bancaire, couverte par le secret professionnel applicable aux établissements de crédit. S’il est impossible de déterminer avec précision le nombre de personnes susceptibles d’avoir eu accès à ces informations, ni le nombre de clients aux données desquelles il a été accédé de manière illicite, cet accès a été effectif, alors qu’il n’aurait pourtant jamais dû se produire.

Dans ces conditions, il est vain pour la société de chercher à se dégager de sa responsabilité en invoquant de supposées procédures préventives en la matière. D’une part, celles-ci ne portaient pas sur les mesures qu’il incombait aux administrateurs informatiques de la société de prendre pour configurer les dossiers publics litigieux ; d’autre part, il est établi qu’elles n’ont produit aucun des résultats escomptés.

Il est tout aussi vain de vouloir imputer à l’éditeur de logiciel […] ses critères de paramétrage par défaut, alors qu’il appartenait précisément à la société, en sa qualité de responsable de traitement, d’adapter les conditions d’usage de ce logiciel à sa propre population.

A l’évidence, la situation litigieuse résulte du fait délibéré d’avoir fait partager le même système d’information par deux populations distinctes, sans veiller à la parfaite étanchéité des systèmes, alors qu’il est juridiquement impossible aux deux branches d’activité professionnelle du groupe Y d’avoir accès aux mêmes informations.

Il apparaît, en effet, que seules des considérations techniques ont dicté le choix d’un active directory commun, sans égard pour la conformité bancaire qui aurait dû guider les opérations d’intégration du Système d’Information Groupe, notamment en assurant que des mesures de sécurisation soient systématiquement prises pour identifier les populations pouvant accéder à des données bancaires et celles qui n’y sont pas habilitées, et en diffusant une procédure écrite à destination des administrateurs afin que ceux-ci retirent d’office les droits par défaut des utilisateurs sur les dossiers publics, ce qui n’a pas été fait.

Dans ces conditions, la formation restreinte considère que a société n’a pas mis en place des mesures de sécurité suffisantes pour répondre à l’obligation qui lui incombait en application de l’article 34 de la loi du 6 janvier 1978 modifiée.

– En quatrième lieu, la société soutient que les dirigeants de la société n’avaient pris connaissance de la situation litigieuse qu’à la parution de l’article susmentionné du Canard Enchaîné, ce qui explique qu’ils n’aient pas pu prendre les mesures correctives requises antérieurement. En effet, s’il est établi qu’à tout le moins un journaliste du groupe avait alerté dès l’année 2010 sur l’existence de ces accès litigieux, cette alerte n’a pas été enregistrée dans une application dédiée, dénommée SARA. Il ne pourrait donc être reproché aux dirigeants de la société et du groupe de ne pas avoir agi alors qu’ils étaient dans l’ignorance de ces alertes.

La formation restreinte n’accueille pas davantage cet argument. Le fait que l’alerte ainsi faite ne soit pas remontée au niveau de la direction ne saurait conditionner la responsabilité de la société en sa qualité de responsable de traitement.

– Enfin, la société soutient qu’elle a pris des mesures correctrices immédiatement, dans la nuit du 26 au 27 décembre ayant suivi la parution de l’article du Canard Enchaîné ayant révélé l’existence de cette faille.

De fait, elle a aussitôt bloqué tous les accès aux dossiers publics en supprimant les droits d’accès globaux, publié une procédure interne concernant la gestion de ces dossiers, effectué des contrôles afin de s’assurer que les utilisateurs sans droit spécifique n’y avaient plus accès dans leur environnement […], et mis en place un traitement de surveillance mensuel des habilitations attribuées aux utilisateurs sur les dossiers publics. Elle a également procédé à l’information immédiate de la Commission, constitué un comité de crise interne, et déposé plainte contre personne non dénommée auprès du Procureur de la République près le tribunal de grande instance de STRASBOURG le 4 janvier 2012.

La formation restreinte prend acte de l’ensemble des mesures correctives prises par la société pour prévenir le renouvellement des faits litigieux.

Toutefois, elle relève que les engagements pris par la société pour le futur ne font pas disparaître les manquements passés, au titre desquels elle demeure libre de prononcer un avertissement afin de prévenir leur renouvellement.

3. Sur les manquements constatés et la publicité de la décision

Dans ces conditions, la formation restreinte considère que la société X a violé les dispositions susvisées de la loi du 6 janvier 1978 modifiée, ce qui justifie que soit prononcé à son encontre un avertissement.

En outre, compte tenu de la gravité des faits jugés, de l’importance d’informer le public des suites données à cette affaire ayant connu un important retentissement médiatique et les acteurs économiques concernés des obligations qui leur incombent en application de la loi du 6 janvier 1978 modifiée, et eu égard au fait que sa décision expose de manière objective tant les manquements retenus que les mesures correctrices prises ultérieurement par la société, la formation restreinte décide de rendre publique sa décision.

PAR CES MOTIFS

Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide :

– De prononcer un avertissement à l’encontre de la SOCIETE X ;

– De rendre publique sa décision.

La Présidente Claire DAVAL

Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.