Sécurité des données personnelles : la négligence retenue malgré une erreur humaine

L’article 34 de la loi du 6 janvier 1978 impose au responsable de traitement de prendre toutes les précautions utiles, au regard de la nature des données et des risques, afin d’empêcher l’accès de tiers non autorisés. Cette obligation ne prescrit pas une mesure technique déterminée, mais exige une protection effective et une vigilance adaptée aux risques.

La CNIL retient un manquement malgré l’erreur humaine ayant désactivé l’authentification. La société avait choisi de faire reposer la sécurité sur cette seule mesure, ce qui renforçait l’exigence de contrôle. Les audits et tests réalisés n’étaient pas adaptés à la base héritée et n’avaient pas permis de détecter la vulnérabilité. Une revue manuelle ciblée du code d’authentification et des contrôles automatisés appropriés auraient permis de la découvrir.

Sur le fondement des articles 45 et 47 de la loi précitée, une sanction pécuniaire de 250 000 euros est prononcée. Son montant tient compte de la gravité du manquement, de la durée d’exposition, du nombre de personnes concernées, mais aussi de la réaction rapide, des mesures correctrices et de la coopération avec la CNIL. L’absence de données sensibles au sens de l’article 8 ne fait pas disparaître le manquement. La décision est rendue publique conformément à l’article 46.

⬇️Télécharger la décision version officielle

Une vulnérabilité permettait d’accéder, sans authentification, aux contrats et factures d’autres clients en modifiant un identifiant d’URL. Issue d’une erreur de réactivation du contrôle d’authentification après des tests, elle pouvait exposer les données de plus de deux millions de clients. La CNIL a relevé l’insuffisance des tests et l’absence de revue ciblée pendant plus de deux ans, puis prononcé une sanction pécuniaire publiée.

La société X, opérateur de télécommunications, permettait à ses clients d’accéder en ligne à leurs contrats et factures.

Un signalement a révélé qu’en modifiant un identifiant intégré dans certaines adresses URL, il était possible d’afficher les documents d’un autre client, sans authentification. La vulnérabilité concernait une base héritée d’une fusion de systèmes informatiques et pouvait donner accès aux données de plus de deux millions de clients.

L’origine du défaut résidait dans la désactivation, lors de tests, du code imposant l’authentification. Une erreur humaine avait empêché sa réactivation. La société a rapidement bloqué l’accès après avoir été informée, puis a corrigé la vulnérabilité.

La CNIL a toutefois constaté que les tests de sécurité n’étaient pas adaptés à la base concernée et qu’aucune revue manuelle ciblée du mécanisme d’authentification n’avait été réalisée pendant plus de deux ans. Elle a retenu un manquement à l’obligation de sécurité des données et prononcé une sanction pécuniaire, assortie de la publicité de la décision.

• Accès libre de tiers non autorisés à des données personnelles
• Absence de mesure complémentaire malgré une authentification unique
• Tests de sécurité non adaptés à la base informatique héritée
• Absence de revue manuelle ciblée du code d’authentification
• Persistance de la vulnérabilité pendant plus de deux ans
• Nombre élevé de personnes et de données concernées

• Reproduction de l’accès aux contrats par modification d’une URL
• Constat de l’inaccessibilité des données après les mesures correctrices
• Analyse de la base archived_contract_invoice et de ses lignes exposées
• Audits et tests d’intrusion réalisés entre 2015 et 2018
• Code commenté signalant la suppression nécessaire après les tests

Le responsable de traitement est sanctionné pour ne pas avoir contrôlé efficacement une mesure d’authentification dont dépendait la sécurité des données. La réaction rapide et les actions de réduction des risques modèrent la sanction, sans neutraliser les conséquences liées à la durée et à l’ampleur de l’exposition.

• Sanction pécuniaire de 250 000 euros
• Publication de la décision pendant deux ans
• Prise en compte favorable de la correction rapide
• Maintien du manquement malgré l’absence de données sensibles
• Nécessité de contrôles adaptés aux systèmes hérités

À faire

• Cartographier les bases héritées et leurs flux d’accès
• Tester chaque mécanisme d’authentification en conditions réalistes
• Réaliser une revue manuelle du code critique
• Adapter les comptes de test aux données réellement exposées
• Documenter les corrections et la coopération avec la CNIL

À éviter

• Se limiter à une authentification non contrôlée
• Réutiliser des tests inadaptés aux bases historiques
• Négliger les commentaires et alertes du code
• Confondre erreur humaine et exonération de responsabilité
• Attendre un signalement pour corriger une vulnérabilité

L’obligation de sécurité des données prévue par l’article 34

L’article 34 de la loi du 6 janvier 1978 impose au responsable de traitement de prendre des précautions utiles, adaptées à la nature des données et aux risques, pour empêcher l’accès de tiers non autorisés. Le texte n’impose pas une technique déterminée. Toutefois, lorsque la sécurité repose sur une authentification unique, la vigilance et les contrôles destinés à garantir son fonctionnement doivent être renforcés. Une erreur humaine n’exonère pas le responsable si des mesures efficaces de détection auraient pu prévenir la persistance de la vulnérabilité.

La caractérisation de la négligence du responsable de traitement

La formation restreinte retient la négligence lorsque les tests d’intrusion et audits ne sont pas adaptés aux spécificités d’une base héritée et ne permettent donc pas de détecter la vulnérabilité. Une revue manuelle ciblée du code d’authentification était proportionnée aux moyens disponibles et aux risques encourus. L’absence de cette revue pendant plus de deux ans caractérise une violation de l’article 34, même si la vulnérabilité provient initialement d’une erreur humaine.

Les critères de proportionnalité de la sanction pécuniaire

En application des articles 45 et 47 de la loi du 6 janvier 1978, la sanction tient compte de la gravité et de la durée du manquement, du nombre de personnes concernées, des catégories de données, de la coopération et des mesures correctrices. La réaction rapide et les actions de réduction des risques ont modéré le montant. L’exposition de plus de deux millions de personnes pendant plus de deux ans a néanmoins justifié une sanction de 250 000 euros et sa publicité.

Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978