Sécurité des données personnelles : responsabilité du traitement et sanction CNIL en cas d’URL prévisibles

L’article 34 de la loi n° 78-17 du 6 janvier 1978 impose au responsable du traitement de prendre les précautions utiles pour préserver la sécurité des données et empêcher l’accès de tiers non autorisés. La formation restreinte retient un manquement lorsque des documents contenant des données personnelles sont accessibles par la simple modification d’un paramètre d’URL, sans authentification ni dispositif empêchant la prévisibilité des adresses.

La responsabilité demeure celle du responsable du traitement, même lorsque la vulnérabilité provient d’un sous-traitant. L’article 35, alinéa 3, exige du sous-traitant des garanties suffisantes, sans décharger le responsable de son obligation de contrôler les mesures de sécurité. La connaissance de dysfonctionnements et l’alerte reçue imposaient une vigilance accrue.

L’absence de données sensibles ou de plaintes ne neutralise pas le manquement. Pour déterminer la sanction, les articles 45 et 47 prennent notamment en compte la gravité, la négligence, le nombre de données concernées, la coopération et les mesures correctrices. La persistance de la vulnérabilité après son signalement a justifié une sanction pécuniaire de 30 000 euros et la publicité de la décision.

⬇️Télécharger la décision version officielle

Une faille affectant un sous-domaine permettait d’accéder à des documents contenant des données personnelles en modifiant un nombre dans l’URL. La CNIL a téléchargé 15 611 documents, puis constaté que 413 144 documents demeuraient accessibles. Malgré plusieurs alertes et contrôles, la vulnérabilité n’a été définitivement corrigée qu’en mars 2018. L’association a été sanctionnée de 30 000 euros pour manquement à l’obligation de sécurité, avec publication de la décision.

Une association reconnue d’utilité publique exploitait un site proposant des cours de français. Un défaut de sécurité affectant un sous-domaine permettait d’accéder à des documents contenant des données personnelles par la simple modification d’un nombre dans l’URL.

Lors d’un contrôle en ligne, la CNIL a téléchargé 15 611 documents contenant notamment des noms et prénoms, parfois des adresses et nationalités. Un contrôle ultérieur a révélé que 413 144 documents restaient accessibles. Malgré plusieurs alertes et contrôles, la vulnérabilité n’a été corrigée définitivement qu’en mars 2018.

L’association a imputé l’incident à son sous-traitant et invoqué l’absence de données sensibles ou de réclamations. La formation restreinte a retenu un manquement à l’obligation de sécurité, prononcé une sanction de 30 000 euros et décidé la publication de la délibération.

• Accès possible à des documents personnels par simple modification d’une URL
• Absence d’authentification préalable des personnes accédant aux documents
• Prévisibilité des adresses permettant le téléchargement
• Défaut de suivi et de contrôle du sous-traitant
• Connaissance de dysfonctionnements ou réception d’une alerte
• Persistance de la vulnérabilité après son signalement

• Constatations en ligne de la délégation de la CNIL
• Téléchargement de 15 611 documents par incrémentation des URL
• Contrôle sur place révélant 413 144 documents accessibles
• Contrôle en ligne du 23 février 2018 constatant la persistance
• Courriels d’alerte et échanges avec l’association

Le responsable du traitement supporte la sanction malgré l’intervention d’un sous-traitant. La persistance de la faille après son signalement a conduit à une sanction pécuniaire et à la publication de la décision.

• Maintien de la responsabilité juridique du responsable du traitement
• Sanction pécuniaire de 30 000 euros
• Publication de la délibération pendant deux ans
• Nécessité d’authentifier les personnes accédant aux documents
• Suivi renforcé des mesures prises par le sous-traitant

À faire

• Mettre en place une authentification des utilisateurs
• Rendre les URL imprévisibles et non séquentielles
• Contrôler régulièrement les accès aux documents personnels
• Documenter les alertes et mesures correctrices
• Superviser contractuellement les mesures du sous-traitant

À éviter

• Laisser des documents accessibles sans contrôle d’accès
• Minimiser une faille faute de données sensibles
• Attendre une plainte avant d’intervenir
• Imputer la faille au sous-traitant sans contrôle
• Différer les investigations après un signalement

La sécurité des données personnelles au titre de l’article 34

L’article 34 de la loi du 6 janvier 1978 impose au responsable du traitement de prendre les précautions utiles pour empêcher l’accès de tiers non autorisés. L’absence d’authentification et la prévisibilité des URL caractérisent une insuffisance de sécurité lorsque l’accès aux documents est possible par simple modification d’un paramètre.

La responsabilité du responsable du traitement face au sous-traitant

L’erreur d’un sous-traitant n’affecte pas l’obligation du responsable du traitement. Selon l’article 35, alinéa 3, le sous-traitant doit présenter des garanties suffisantes, mais cette exigence ne décharge pas le responsable de son obligation de suivre rigoureusement les mesures de sécurité, particulièrement lorsqu’il connaît des dysfonctionnements ou reçoit une alerte.

Les critères de la sanction pécuniaire

Les articles 45 et 47 permettent une sanction après procédure contradictoire. La formation restreinte a retenu la gravité de l’accès non contrôlé, le volume de documents, la persistance de la vulnérabilité et la correction tardive. L’absence de plaintes et de données sensibles est sans influence sur le manquement. La sanction a été fixée à 30 000 euros et rendue publique.

Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 25 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978