Sécurité des données personnelles : responsabilité du responsable de traitement face aux défaillances du sous-traitant

L’article 34 de la loi du 6 janvier 1978 impose au responsable de traitement de prendre toutes les précautions utiles pour préserver la sécurité des données et empêcher l’accès de tiers non autorisés. La violation est constituée dès lors que des données personnelles deviennent accessibles à des personnes non habilitées, même sans exploitation démontrée.

En application des articles 3 et 35 de la même loi, la société qui détermine la finalité et au moins une partie des moyens du traitement conserve la qualité de responsable de traitement. Le recours à un sous-traitant ne la décharge pas de son obligation de contrôle effectif. Elle doit vérifier les fonctionnalités de l’outil, notamment les règles de filtrage des URL, désactiver les modules inutiles et suivre régulièrement les mesures correctrices.

La formation restreinte retient un manquement en raison de l’accessibilité de centaines de milliers de fiches contenant des données directement identifiantes, de l’absence de vérifications préalables suffisantes et du suivi irrégulier du prestataire. La réaction ultérieure, la coopération avec la CNIL et l’audit de sécurité ont été prises en compte pour proportionner la sanction, fixée à 100 000 euros. La publicité de la décision a également été ordonnée.

⬇️Télécharger la décision version officielle

La modification d’un identifiant dans une URL permettait d’accéder aux fiches de plus de 900 000 clients, contenant notamment leurs coordonnées et informations de commande. La faille persistait quinze jours après le premier contrôle. La CNIL a retenu la responsabilité de la société, qui n’avait pas suffisamment vérifié ni surveillé l’outil fourni par son sous-traitant, et lui a infligé une sanction de 100 000 euros publiée.

Une société de commerce de détail utilisait un outil fourni par un sous-traitant pour gérer les demandes de service après-vente de ses clients.

Lors d’un contrôle en ligne, la CNIL a constaté qu’une modification de l’identifiant intégré dans une URL permettait d’accéder aux fiches d’autres clients. Ces documents contenaient notamment des noms, adresses, courriels et informations relatives aux commandes. Plus de 900 000 fiches étaient potentiellement accessibles.

Le contrôle réalisé quinze jours plus tard a établi que la faille persistait et que de nouvelles fiches avaient été créées. La société a ensuite fait sécuriser l’outil, puis réalisé un audit de sécurité. La CNIL a considéré qu’elle demeurait responsable du traitement, malgré l’intervention du sous-traitant, et qu’elle n’avait pas suffisamment vérifié ni surveillé les fonctionnalités de la solution. Une sanction pécuniaire de 100 000 euros et la publication de la décision ont été prononcées.

• Déterminer la finalité du traitement des demandes de service après-vente
• Déterminer au moins une partie des moyens du traitement
• Vérifier préalablement les règles de filtrage des URL
• Revoir régulièrement les formulaires et fonctionnalités accessibles
• Désactiver les modules inutiles ou non nécessaires
• Suivre effectivement et régulièrement les mesures correctrices du sous-traitant
• Empêcher l’accès des tiers non autorisés aux données personnelles

• Procès-verbaux des contrôles en ligne et sur place de la CNIL
• Accès aux fiches par modification de l’identifiant dans l’URL
• Téléchargement par échantillonnage de 7 417 fiches
• Constat de 918 721 fiches accessibles lors du second contrôle
• Échanges et demandes adressés au sous-traitant après l’incident
• Audit de sécurité réalisé en août 2017

Le responsable de traitement supporte la sanction malgré la défaillance technique du sous-traitant, car il devait contrôler la sécurité de l’outil et le suivi de la remédiation. Le sous-traitant demeure impliqué dans la mise en œuvre technique, mais son intervention ne transfère pas la responsabilité légale du traitement.

• Sanction pécuniaire de 100 000 euros pour le responsable de traitement
• Publication de la décision pendant deux ans
• Obligation de contrôler les fonctionnalités du logiciel fourni
• Nécessité de désactiver les modules inutiles ou inconnus
• Renforcement du suivi documenté des actions correctrices
• Réalisation d’audits de sécurité réguliers

À faire

• Tester le filtrage des URL avant la mise en production
• Inventorier les formulaires et fonctionnalités accessibles
• Désactiver les modules inutiles ou non prévus
• Documenter les contrôles réalisés chez le sous-traitant
• Suivre quotidiennement la résolution d’un incident

À éviter

• Déployer un logiciel standard sans audit préalable
• Considérer le sous-traitant comme seul responsable de la sécurité
• Laisser accessibles des formulaires non utilisés
• Se limiter à une demande ponctuelle de correction
• Négliger les données directement identifiantes non sensibles

La qualité de responsable de traitement

La société est responsable du traitement au sens de l’article 3 de la loi du 6 janvier 1978 dès lors qu’elle poursuit la finalité de gestion des demandes de service après-vente et détermine au moins une partie des moyens. Le recours à un outil fourni par un sous-traitant ne modifie pas cette qualification.

La responsabilité du sous-traitant dans la sécurité

Selon l’article 35 de la loi du 6 janvier 1978, l’intervention d’un sous-traitant ne décharge pas le responsable de traitement. Celui-ci doit contrôler les composantes et options de l’outil, vérifier leur conformité à l’article 34 et faire désactiver les modules inutiles ou insuffisamment sécurisés.

Le manquement à l’obligation de sécurité

L’article 34 de la loi du 6 janvier 1978 est méconnu lorsque des données personnelles sont accessibles à des tiers non autorisés. La formation restreinte a retenu l’absence de vérification préalable du filtrage des URL, l’absence de revue régulière des formulaires et le suivi insuffisant des mesures correctrices du prestataire.

Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 3 de la loi n° 78-17 du 6 janvier 1978, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978, Article 45 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978