Sécurité des données personnelles : responsabilité conjointe et sanction CNIL d’un établissement français

La CNIL retient la qualité de responsables conjoints de traitement des sociétés qui déterminent ensemble les finalités et les moyens essentiels du traitement. L’analyse est factuelle : la conception de l’application, la rédaction de directives, la formation des salariés, la conclusion de contrats avec des prestataires essentiels et la gestion de la violation caractérisent un rôle déterminant. Un établissement français peut donc être sanctionné, même si une autre entité du groupe est désignée comme responsable principal.

L’article 5, I, 1° de la loi du 6 janvier 1978 et l’article 4, paragraphe 1, a), de la directive 95/46/CE rendent le droit français applicable lorsque le responsable dispose d’un établissement stable en France et que le traitement est effectué dans le cadre des activités de cet établissement. La CNIL peut exercer son pouvoir de sanction à l’encontre de cet établissement sur le fondement de l’article 45 de la même loi.

L’article 34 impose de prendre toutes les précautions utiles au regard de la nature des données et des risques du traitement. L’absence d’authentification multifactorielle, de retrait des habilitations, de protection des identifiants inscrits dans le code source et de filtrage des adresses IP révèle un manquement constitué par un enchaînement de négligences.

Sur le fondement de l’article 47, la sanction de 400 000 euros tient compte de la gravité, du volume des données et des personnes concernées, ainsi que du risque d’usage ultérieur. L’absence de données sensibles ou de dommage démontré ne suffit pas à écarter le manquement. La publicité de la décision est prononcée conformément à l’article 46.

⬇️Télécharger la décision version officielle

Des personnes extérieures ont accédé à un espace GitHub privé et utilisé une clé inscrite en clair dans le code source pour atteindre les serveurs contenant les données des utilisateurs. La CNIL a retenu la responsabilité conjointe de deux sociétés, l’établissement stable français de l’une d’elles et plusieurs insuffisances de sécurité. Elle a prononcé une sanction de 400 000 euros à l’encontre de la société française, avec publication.

La société Z exploite une plateforme et une application de transport avec chauffeur. Elle a créé plusieurs filiales, dont les sociétés X et Y, pour développer ce service à l’étranger.

Des personnes extérieures ont accédé à un espace privé GitHub utilisé par les ingénieurs, puis à une clé d’accès inscrite en clair dans du code source. Cette clé leur a permis d’atteindre les serveurs hébergeant les données des utilisateurs et d’en télécharger une quantité importante. Les données concernaient notamment les noms, adresses électroniques, villes ou pays de résidence, numéros de téléphone et statuts des utilisateurs.

La CNIL a enquêté sur cette violation. Elle a retenu que les sociétés Z et Y étaient responsables conjointes du traitement, que la société X constituait un établissement stable en France et que le traitement était réalisé dans le cadre de ses activités de support et de marketing. Elle a également constaté plusieurs insuffisances de sécurité et prononcé une sanction pécuniaire de 400 000 euros à l’encontre de la société X, avec publication de la décision.

• Déterminer les finalités ou les moyens essentiels du traitement
• Établir l’existence d’un établissement stable en France
• Relier le traitement aux activités de cet établissement
• Identifier des mesures de sécurité insuffisantes au regard des risques
• Constater un accès possible de tiers non autorisés
• Apprécier la gravité, le volume des données et la coopération

• Utilisation d’identifiants personnels pour accéder à GitHub
• Clé d’accès inscrite en clair dans un fichier de code source
• Absence de processus de retrait des habilitations
• Accès aux serveurs ayant permis le téléchargement des données
• Absence de filtrage des adresses IP autorisées

La société X est sanctionnée en tant qu’établissement français des responsables conjoints de traitement. Les sociétés du groupe doivent assumer une gouvernance de sécurité cohérente, tandis que la CNIL peut viser l’établissement local lorsque le traitement relève de ses activités.

• Supporter une sanction pécuniaire de 400 000 euros
• Assurer la publication puis l’anonymisation différée de la décision
• Déployer une authentification renforcée des accès techniques
• Retirer immédiatement les habilitations des anciens collaborateurs
• Protéger les secrets et filtrer les accès aux serveurs

À faire

• Activer une authentification multifactorielle sur les plateformes sensibles
• Retirer les habilitations dès le départ d’un collaborateur
• Interdire les identifiants en clair dans le code source
• Filtrer les adresses IP accédant aux serveurs
• Documenter les rôles des entités du groupe

À éviter

• Conserver des clés d’accès dans des fichiers non protégés
• Maintenir les comptes d’anciens ingénieurs actifs
• Considérer GitHub comme extérieur au périmètre de sécurité
• Reporter la sécurisation des connexions distantes
• Écarter le manquement faute de dommage démontré

La qualification de responsables conjoints de traitement

La qualification repose sur une analyse factuelle du rôle exercé dans la détermination des finalités et des moyens essentiels. La conception de l’application, les directives de gestion des données, la formation des salariés, les contrats conclus avec des prestataires essentiels et la gestion de la violation ont conduit à retenir la responsabilité conjointe des sociétés Z et Y.

L’application territoriale du droit français

L’article 5, I, 1° de la loi du 6 janvier 1978 et l’article 4, paragraphe 1, a), de la directive 95/46/CE exigent un établissement stable en France et un traitement mis en œuvre dans le cadre de ses activités. Ces deux critères étant remplis par les activités de support et de marketing, le droit français s’applique.

Le manquement à la sécurité des données personnelles

L’article 34 de la loi du 6 janvier 1978 impose toutes les précautions utiles contre l’accès de tiers non autorisés. La CNIL retient un enchaînement de négligences : absence de retrait des habilitations, identifiants en clair dans le code source, sécurisation insuffisante de GitHub et absence de filtrage des adresses IP. L’article 47 justifie la sanction au regard de la gravité et du nombre de personnes concernées.

Article 3, I de la loi n° 78-17 du 6 janvier 1978, Article 5, I, 1° de la loi n° 78-17 du 6 janvier 1978, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978, Article 75 du décret n° 2005-1309 du 20 octobre 2005, Article 4, paragraphe 1, a) de la directive 95/46/CE, Article 28, paragraphe 3 de la directive 95/46/CE