Protection des données : conservation excessive et information insuffisante après une violation de sécurité

La formation restreinte retient un manquement à l’article 5, paragraphe 1, e), du RGPD, qui impose une conservation des données limitée à la durée nécessaire aux finalités poursuivies. La définition de durées théoriques ne suffit pas : le responsable doit effectivement organiser le tri, l’archivage ou la suppression des données. Les difficultés techniques de purge ne l’exonèrent pas. Au-delà de cinq ans, seules les données nécessaires aux obligations comptables peuvent être conservées, conformément à l’article L.123-22 du code de commerce ; les IBAN ne peuvent être maintenus sans justification de leur utilité.

L’article 32 du RGPD institue une obligation de moyens : la violation ne suffit pas, à elle seule, à caractériser un manquement. Les mesures doivent être adaptées aux caractéristiques du traitement et aux risques encourus.

L’article 34 du RGPD exige, en cas de risque élevé, une information directe, claire et complète. Le premier niveau d’information doit notamment exposer la nature de la violation, ses conséquences probables et les principales mesures correctives. Une formulation générale sur le renforcement de la sécurité ne répond pas à cette exigence. Les mesures de remédiation compréhensibles et les risques identifiés doivent être communiqués sans exposer le système d’information.

⬇️Télécharger la décision version officielle

Après une intrusion ayant exposé les données de plusieurs millions de contrats, la société a notifié la violation à la CNIL et informé les personnes concernées. La CNIL a constaté que des données d’anciens abonnés étaient conservées au-delà des durées annoncées, sans purge effective ni tri conforme aux finalités comptables. Elle a également relevé que le courriel adressé aux personnes concernées décrivait insuffisamment les mesures correctives et les risques encourus.

Une société opératrice de téléphonie mobile a été victime d’une intrusion dans son système d’information entre le 28 septembre et le 22 octobre 2024. L’attaquant a accédé à un outil de gestion des abonnés permettant de consulter des données d’identité, de contact, contractuelles et, pour certains clients, des IBAN. La violation a concerné plusieurs millions de contrats.

La société a notifié la violation à la CNIL puis informé les personnes concernées par courriel. Une mission de contrôle a ensuite porté sur les traitements mis en œuvre par la société et une société du même groupe. La procédure a été disjointe afin que chaque entité réponde de son propre traitement.

La CNIL a constaté que des données d’anciens abonnés étaient conservées au-delà des durées annoncées, sans purge effective ni tri conforme aux finalités comptables. Elle a également estimé que le courriel adressé aux personnes concernées ne décrivait pas suffisamment les mesures correctives et les risques encourus.

• Définir une durée de conservation adaptée à chaque finalité
• Mettre effectivement en œuvre le tri, l’archivage ou la suppression
• Limiter la conservation comptable aux données nécessaires et justifiées
• Adapter les mesures de sécurité aux caractéristiques et risques du traitement
• Décrire directement aux personnes la nature et les conséquences probables
• Présenter les principales mesures correctives dans une information compréhensible

• Constatations de contrôle dans la base de données
• Déclarations de la société sur les durées de conservation
• Présence de données relatives à des contrats résiliés depuis plus de dix ans
• Reconnaissance d’un mécanisme de purge inachevé
• Courriel d’information adressé aux personnes concernées
• Notification initiale à la CNIL et scripts de réponses aux conseillers

La société demeure responsable de son propre traitement, même lorsque certaines mesures de sécurité sont communes au groupe. Elle s’expose à une amende administrative et à une injonction de mise en conformité lorsque les durées de conservation ne sont pas appliquées ou que l’information des personnes est incomplète.n

• Suppression des données conservées au-delà des durées justifiées
• Tri des données maintenues pour obligations comptables
• Exclusion des IBAN non nécessaires à la facturation
• Documentation des mesures de sécurité adaptées aux risques
• Réécriture des notifications adressées aux personnes concernées
• Précision des risques d’usurpation et de fraude

À faire

• Cartographier chaque finalité et durée de conservation
• Automatiser les purges et contrôler leur exécution
• Isoler les données nécessaires à la facturation
• Évaluer régulièrement les risques de sécurité
• Décrire clairement les risques et mesures correctives

À éviter

• Conserver indéfiniment les données d’anciens abonnés
• Invoquer les contraintes techniques sans mesure compensatoire
• Maintenir des IBAN sans utilité démontrée
• Informer par une formule générale et abstraite
• Omettre les risques d’usurpation d’identité

La conservation des données au-delà des finalités déterminées

nL’article 5, paragraphe 1, e), du RGPD impose une conservation n’excédant pas la durée nécessaire à la finalité poursuivie. Le responsable doit mettre en œuvre les durées qu’il a définies, par le tri, l’archivage ou la suppression des données. Les défaillances techniques ne l’exonèrent pas. Après cinq ans, seules les données nécessaires à la facturation peuvent être conservées au titre de l’article L.123-22 du code de commerce.n

L’obligation de sécurité adaptée aux risques

nSelon l’article 32 du RGPD, l’obligation de sécurité est une obligation de moyens. La seule survenance d’une violation ne suffit donc pas à établir un manquement. Le caractère approprié des mesures doit être apprécié concrètement au regard des caractéristiques du traitement, des risques et des mesures techniques et organisationnelles effectivement mises en œuvre.n

Le contenu de l’information des personnes concernées

nL’article 34, paragraphe 2, du RGPD impose une communication directe contenant les informations essentielles mentionnées à l’article 33, paragraphe 3, points b), c) et d). Le premier niveau doit exposer la nature de la violation, ses conséquences probables et les principales mesures correctives. Une formule abstraite sur le renforcement de la sécurité et une alerte vague contre les fraudes sont insuffisantes.

Article 4, paragraphe 7, du RGPD, Article 5, paragraphe 1, e), du RGPD, Articles 24 et 32 du RGPD, Articles 33 et 34 du RGPD, Article 83 du RGPD, Article L.123-22 du code de commerce, Articles 20 et 22 de la loi n° 78-17 du 6 janvier 1978