L’essentiel
La survenance d’une violation ne suffit donc pas à caractériser le manquement. Celui-ci peut toutefois être retenu lorsque l’absence ou l’insuffisance de mesures de sécurité a rendu la violation possible ou l’a facilitée. Les recommandations de la CNIL et de l’ANSSI, dépourvues de caractère impératif, peuvent éclairer l’application de l’article 32 sans constituer, à elles seules, le fondement de la sanction.
La responsabilité est appréciée société par société, selon les traitements et systèmes d’information dont chacune a la charge. La formation restreinte a également retenu un manquement à l’article 34 du RGPD en raison d’une information insuffisamment précise des personnes concernées sur les risques et les mesures à prendre.
L’article 83 du RGPD permet de tenir compte notamment de la gravité, de la durée, du nombre de personnes concernées, des catégories de données, de la négligence et des mesures d’atténuation. Pour fixer l’amende, la notion d’entreprise correspond à une unité économique incluant, le cas échéant, plusieurs personnes morales.
En résumé
- Sanction pécuniaire fondée sur les manquements aux articles 32 et 34 du RGPD
- L’obligation de sécurité constitue une obligation de moyens adaptée aux risques
- Les vulnérabilités propres au système d’information imputent la responsabilité à l’opérateur
- Le volume massif des données et les IBAN aggravent l’exposition des personnes
- L’information insuffisante sur les risques caractérise un manquement à l’article 34
Contexte de l’affaire
À la suite d’une intrusion dans le système d’information de l’opérateur mobile, un attaquant a accédé à l’outil de gestion des abonnés et a exfiltré des données relatives à plusieurs millions de contrats, dont ceux de l’opérateur fixe. La violation a été notifiée à la CNIL et les personnes concernées ont été informées.
Après un contrôle, une procédure de sanction distincte a été engagée contre chaque société. La formation restreinte a examiné la responsabilité propre de l’opérateur fixe, les mesures de sécurité mises en œuvre et l’information délivrée aux personnes concernées. Elle a retenu des manquements relatifs à la sécurité des données et à la notification de la violation, puis a prononcé une sanction pécuniaire.
Conditions / critères (ce que le juge vérifie)
- Identifier les risques liés à la nature, au volume et au contexte du traitement
- Évaluer concrètement leur probabilité et leur gravité
- Vérifier l’adaptation des mesures à l’état des connaissances
- Établir une absence ou une insuffisance de mesures de sécurité
- Imputer les vulnérabilités au système d’information du responsable concerné
- Informer les personnes des risques et mesures de protection utiles
Preuves retenues (ce qui a fait pencher la décision)
- Constats de la mission de contrôle réalisée dans les locaux des sociétés
- Enquête interne menée après l’alerte d’intrusion
- Accès constaté à l’outil de gestion des abonnés et aux bases concernées
- Exfiltration de données relatives à plusieurs millions de contrats
- Courriels de notification adressés aux personnes concernées
- Nombre de plaintes reçues par la CNIL
Conséquences pratiques
- Sanction pécuniaire au titre des articles 32 et 34 du RGPD
- Prise en compte de la taille du traitement et des données bancaires
- Appréciation séparée des responsabilités des sociétés du groupe
- Renforcement nécessaire des mesures de détection et de sécurisation
- Information plus précise des personnes sur les risques et protections
Checklist pour Avocats
À faire
- Cartographier les traitements, accès et systèmes interconnectés
- Évaluer régulièrement les risques de divulgation et d’accès non autorisé
- Sécuriser les connexions VPN et les outils de gestion clientèle
- Déployer des moyens de détection des comportements suspects
- Notifier les personnes avec des informations précises sur les risques
À éviter
- Considérer qu’une violation suffit à prouver le manquement
- Appliquer indistinctement les responsabilités de sociétés juridiquement distinctes
- Négliger les données bancaires dans l’analyse des risques
- Se limiter à des mesures non vérifiées ou insuffisamment testées
- Adresser une notification imprécise ou incomplète aux personnes concernées
FAQ / Q-R juridiques
Le régime de l’obligation de sécurité prévue par l’article 32 du RGPD
La formation restreinte qualifie l’article 32 du RGPD d’obligation de moyens. La violation de données ne suffit pas, à elle seule, à établir le manquement. Il faut apprécier concrètement si les mesures techniques et organisationnelles étaient adaptées aux risques, au regard notamment de leur probabilité, de leur gravité, de l’état des connaissances, des coûts et des caractéristiques du traitement. Les recommandations de la CNIL et de l’ANSSI peuvent éclairer cette appréciation sans constituer le fondement autonome de la sanction.
La responsabilité personnelle des responsables de traitement
Chaque société répond des obligations relatives à son propre traitement et à son propre système d’information. La formation restreinte examine donc les vulnérabilités imputables à la société poursuivie, même lorsque la violation concerne également une société du même groupe. Le partage de certaines mesures de sécurité ne supprime pas la responsabilité propre de chaque responsable de traitement.
Les critères de l’amende administrative prévue par l’article 83 du RGPD
La formation restreinte tient compte de la gravité, du nombre de personnes concernées, des catégories de données, de la négligence et des mesures prises pour limiter les conséquences. Les manquements aux articles 32 et 34 du RGPD peuvent être sanctionnés dans les limites prévues par l’article 83. Pour apprécier la capacité économique et le montant maximal, la notion d’entreprise correspond à une unité économique pouvant comprendre plusieurs personnes morales.
Textes cités
RGPD & protection des données
Approfondir ce sujet :