Conservation excessive des données et insuffisance de l’information après une violation de sécurité

La formation restreinte retient un manquement à l’article 5, paragraphe 1, e), du RGPD lorsque les données d’anciens abonnés sont conservées au-delà des durées nécessaires sans tri effectif selon les finalités. Les difficultés techniques de purge ne libèrent pas le responsable de traitement de son obligation de supprimer, anonymiser ou archiver les données dans les délais définis. Après cinq ans, seules les données nécessaires aux obligations comptables peuvent être conservées, en application de l’article L.123-22 du code de commerce ; l’IBAN ne peut être maintenu sans justification de son utilité comptable.

Au titre de l’article 32 du RGPD, l’obligation de sécurité constitue une obligation de moyens. Une violation de données ne suffit donc pas, à elle seule, à caractériser un manquement : l’adéquation des mesures techniques et organisationnelles doit être appréciée concrètement au regard des risques et des caractéristiques du traitement.

L’article 34, paragraphe 2, du RGPD impose, en cas de risque élevé, une information directe comportant notamment la nature de la violation, ses conséquences probables et les mesures prises pour y remédier, conformément au renvoi à l’article 33, paragraphe 3, points b), c) et d). Une formulation générale sur le renforcement de la sécurité et la vigilance contre la fraude ne suffit pas lorsque les risques identifiés et les mesures correctives peuvent être exposés simplement sans compromettre le système.

⬇️Télécharger la décision version officielle

À la suite d’une intrusion ayant concerné plus de 24 millions de contrats mobiles et fixes, la société a notifié la violation à la CNIL et informé les personnes concernées. Le contrôle a révélé la conservation excessive de données d’anciens abonnés, l’absence de purge pleinement opérationnelle et une information insuffisamment précise sur les risques et les mesures correctives. La procédure portait également sur la responsabilité respective des sociétés du groupe et leurs mesures de sécurité.

La société FREE MOBILE, opérateur de téléphonie mobile, a subi une intrusion dans son système d’information entre le 28 septembre et le 22 octobre 2024. L’attaquant a accédé à un outil de gestion des abonnés et consulté des données d’identité, de contact et contractuelles ainsi que, pour certains abonnés, des IBAN. La violation concernait plus de 24 millions de contrats mobiles et fixes.

La société a notifié la violation à la CNIL les 23 octobre et 5 novembre 2024, puis informé les personnes concernées par courriel entre le 24 et le 29 octobre. Un contrôle sur place a ensuite été mené. La CNIL a constaté la conservation excessive de données d’anciens abonnés, l’absence de purge pleinement opérationnelle et une information insuffisamment précise sur les risques et les mesures correctives. La procédure a également porté sur la responsabilité respective des deux sociétés du groupe et sur les mesures de sécurité mises en œuvre.

• Définir une durée de conservation proportionnée à chaque finalité
• Mettre en œuvre une purge effective aux échéances prévues
• Trier les données conservées au-delà de cinq ans
• Justifier chaque conservation par une finalité comptable ou légale
• Évaluer concrètement les mesures de sécurité au regard des risques
• Informer directement les personnes du risque élevé et de ses conséquences
• Décrire les mesures correctives sans formulation générale

• Constatations du contrôle sur place dans les bases de données
• Présence de données relatives à des millions de contrats résiliés
• Déclarations de la société sur le mécanisme de purge inachevé
• Politique de conservation et projet de purge communiqués pendant l’instruction
• Courriel initial adressé aux personnes concernées
• Scripts internes identifiant les risques de fraude et d’usurpation

La société demeure responsable des traitements relevant de la gestion de ses propres abonnés, même lorsque certaines mesures de sécurité sont communes au groupe. Elle doit achever la purge, limiter les données conservées à celles strictement nécessaires et améliorer l’information adressée aux personnes concernées après une violation.

• Suppression des données conservées au-delà des durées justifiées
• Tri des données comptables et exclusion des IBAN non nécessaires
• Documentation des mesures de sécurité adaptées aux risques
• Révocation des accès compromis et correction des vulnérabilités
• Information précise sur les risques d’usurpation et de fraude
• Description compréhensible des mesures correctives déployées

À faire

• Cartographier les finalités et durées de conservation
• Automatiser et tester les purges aux échéances
• Trier les données conservées pour la facturation
• Évaluer régulièrement les risques et mesures de sécurité
• Préparer un modèle d’information complet après violation

À éviter

• Conserver toutes les données d’anciens abonnés indistinctement
• Invoquer les contraintes techniques sans plan correctif opérationnel
• Maintenir des IBAN sans démontrer leur utilité comptable
• Se limiter à une information générale sur la vigilance
• Omettre les risques d’usurpation et les mesures préventives

La durée proportionnée de conservation des données personnelles

L’article 5, paragraphe 1, e), du RGPD impose une conservation n’excédant pas celle nécessaire aux finalités poursuivies. La société devait trier et supprimer les données des anciens abonnés, sauf justification d’une autre finalité. Après cinq ans, seules les données nécessaires à la facturation pouvaient être conservées au titre de l’article L.123-22 du code de commerce. Les difficultés techniques de purge n’exonéraient pas la société.

L’obligation de sécurité adaptée aux risques

L’article 32 du RGPD impose une obligation de moyens : le responsable doit mettre en œuvre des mesures techniques et organisationnelles appropriées, appréciées concrètement selon les caractéristiques du traitement et les risques. La seule survenance d’une violation ne suffit pas à établir le manquement, mais les mesures doivent réduire sa probabilité et sa gravité.

L’information directe après une violation à risque élevé

L’article 34, paragraphe 2, du RGPD impose de communiquer directement la nature de la violation, ses conséquences probables et les mesures prises, par renvoi à l’article 33, paragraphe 3, points b), c) et d). Une information générale sur le renforcement de la sécurité et la vigilance contre la fraude ne satisfait pas cette exigence lorsqu’elle ne décrit ni les principaux risques ni les mesures correctives concrètes.

Article 4, alinéa 7, du RGPD, Article 5, paragraphe 1, e), du RGPD, Article 20-IV de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 24 du RGPD, Article 32 du RGPD, Article 33, paragraphe 3, du RGPD, Article 34 du RGPD, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 83 du RGPD, Article L.123-22 du code de commerce, Articles 101 et 102 du traité sur le fonctionnement de l’Union européenne