Sécurité des données par un sous-traitant : portée de l’obligation et sanction RGPD

La formation restreinte retient un manquement à l’article 32 du RGPD, qui impose au responsable du traitement et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque. L’appréciation tient compte de la nature du traitement, des risques, de l’état des connaissances et du coût des mesures.

Le sous-traitant conserve une responsabilité propre en matière de sécurité, même lorsque le responsable du traitement définit les finalités et autorise le recours à un sous-traitant ultérieur. En application de l’article 28, paragraphes 3 et 4, du RGPD, il doit proposer des solutions adéquates et demeure pleinement responsable devant le responsable du traitement de l’exécution des obligations de son sous-traitant ultérieur.

La formation s’appuie sur des audits internes, des tests d’intrusion, les constatations de contrôle et les déclarations recueillies pour caractériser des vulnérabilités documentées, persistantes et insuffisamment corrigées. Les incidents de sécurité ne constituent pas à eux seuls le manquement : celui-ci résulte de la faiblesse globale et durable des mesures de sécurité.

La sanction est fondée sur les articles 20, IV, et 22 de la loi du 6 janvier 1978 ainsi que sur l’article 83 du RGPD. La formation prend en compte la gravité, la négligence, la responsabilité du sous-traitant, la sensibilité des données et la capacité économique de l’entreprise. Une amende de 1 700 000 euros est prononcée, avec publication temporairement nominative.

⬇️Télécharger la décision version officielle

Deux erreurs de paramétrage du portail de la MDPH du Nord ont permis à des usagers d’accéder à des données concernant des tiers. Les incidents ont révélé plusieurs vulnérabilités, tandis que la société ne pouvait déterminer précisément toutes les données accessibles. Malgré des correctifs ultérieurs, la persistance des failles et l’absence de correction rapide ont conduit la CNIL à considérer que le niveau global de sécurité était insuffisant.

NEXPUBLICA FRANCE édite et héberge un progiciel utilisé par la MDPH du Nord pour gérer les demandes de prestations et permettre aux usagers de suivre leurs dossiers en ligne. La société sous-traite l’hébergement et certaines habilitations à un autre prestataire.

Entre octobre et novembre 2022, deux erreurs de paramétrage ont permis à des usagers d’accéder à des données concernant des tiers. Le premier incident concernait des comptes ayant accès à des informations de tiers ; le second permettait la consultation de nombreux enregistrements au moyen de plusieurs pages du portail. Les pièces jointes n’ont pas été exposées, mais la société n’a pas pu déterminer précisément toutes les données accessibles.

Des notifications de violation, un contrôle sur place, des audits et des tests d’intrusion ont révélé plusieurs vulnérabilités. La CNIL a estimé que leur persistance et l’absence de correction rapide caractérisaient un niveau global de sécurité insuffisant, malgré les correctifs ultérieurs.

• Qualifier l’opérateur de sous-traitant au sens de l’article 4, paragraphe 8, du RGPD
• Apprécier la sécurité selon la nature du traitement et les risques encourus
• Tenir compte de l’état des connaissances et du coût des mesures
• Identifier des vulnérabilités documentées, persistantes et insuffisamment corrigées
• Vérifier la responsabilité propre dans les choix techniques et l’hébergement
• Prendre en compte la sensibilité des données et la vulnérabilité des personnes
• Évaluer la gravité, la négligence et la capacité économique pour la sanction

• Rapports d’audits de code et tests d’intrusion
• Procès-verbal de contrôle sur place n° 2023-063/1
• Notifications de violations transmises par la MDPH
• Constatations directes de la délégation de contrôle
• Déclarations de la société retranscrites au procès-verbal
• CCTP et contrat de sous-traitance relatifs aux responsabilités techniques

Le sous-traitant est sanctionné pour un niveau de sécurité insuffisant, sans pouvoir transférer sa responsabilité au responsable de traitement ou à son hébergeur. Le responsable de traitement conserve ses obligations propres, tandis que la décision est publiée avec une anonymisation différée.

• Renforcement immédiat des mesures de sécurité du progiciel
• Correction documentée de chaque vulnérabilité identifiée
• Contrôle renforcé des sous-traitants ultérieurs et des briques intégrées
• Conservation des audits, tests et preuves de remédiation
• Prise en compte du chiffre d’affaires global pour le risque financier
• Anticipation d’une publication nominative pendant deux ans

À faire

• Cartographier les vulnérabilités du traitement
• Réaliser des audits et tests d’intrusion réguliers
• Corriger rapidement les failles critiques documentées
• Formaliser les responsabilités de chaque sous-traitant
• Conserver les preuves de remédiation et de contrôle

À éviter

• Limiter la sécurité aux seuls correctifs post-incident
• Transférer automatiquement la responsabilité à l’hébergeur
• Négliger les composants logiciels intégrés
• Ignorer les données sensibles et les personnes vulnérables
• Présenter une expertise sans répondre aux vulnérabilités relevées

Le niveau de sécurité adapté au risque

L’article 32 du RGPD impose au responsable du traitement et au sous-traitant des mesures techniques et organisationnelles appropriées. L’évaluation tient compte de la nature du traitement, des risques, de l’état des connaissances et du coût des mesures. La formation retient ici la persistance de vulnérabilités documentées, l’absence de défense en profondeur et l’exposition de données concernant des personnes vulnérables.

La responsabilité propre du sous-traitant

Le sous-traitant doit proposer et mettre en œuvre les solutions de sécurité adéquates, même si le responsable du traitement conserve ses propres obligations. Selon l’article 28, paragraphe 4, du RGPD, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l’exécution des obligations de son sous-traitant ultérieur. La responsabilité n’est toutefois pas automatique pour tout acte de ce dernier ; elle est retenue lorsque le sous-traitant initial conserve une maîtrise ou une connaissance des failles.

Les critères de l’amende administrative

L’article 83 du RGPD impose une amende effective, proportionnée et dissuasive, déterminée notamment selon la gravité, la durée, la négligence, la responsabilité, les catégories de données et le nombre de personnes concernées. La formation retient la sensibilité des données relatives au handicap, la vulnérabilité des personnes, la persistance des failles et la capacité économique de l’entreprise. L’article 20, IV, de la loi du 6 janvier 1978 encadre le plafond applicable.

Article 4, paragraphe 8, du RGPD, Article 5, paragraphe 1, alinéa f), du RGPD, Article 9, paragraphe 1, du RGPD, Article 19 de la loi n° 78-17 du 6 janvier 1978, Article 20, paragraphe IV, de la loi n° 78-17 du 6 janvier 1978, Article 22, alinéa 2, de la loi n° 78-17 du 6 janvier 1978, Article 25 du RGPD, Article 28, paragraphes 2, 3 et 4, du RGPD, Article 32 du RGPD, Article 83 du RGPD, Article L. 1111-8 du Code de la santé publique