Sécurité des données personnelles : sanction CNIL d’un défaut d’authentification et de mots de passe robustes

L’article 32 du RGPD impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques, afin de garantir notamment la confidentialité des données et de prévenir les accès non autorisés. La formation restreinte retient un manquement résultant de l’absence d’authentification effective, de la possibilité de modifier les identifiants dans les URL et de l’indexation de comptes clients par les moteurs de recherche.

La décision rappelle que des mesures élémentaires, telles qu’une gestion des droits d’accès, une authentification et une limitation de l’indexation, doivent être intégrées dès la conception du site. La mise en conformité rapide après signalement n’efface pas le manquement antérieur.

L’utilisation de dates de naissance comme mots de passe, l’absence de mécanisme complémentaire contre les tentatives répétées et l’envoi de mots de passe en clair par courriel caractérisent également une sécurité insuffisante. La sanction a été fixée au regard des critères de l’article 83 du RGPD, notamment la nature des données, le nombre de personnes concernées, la durée du défaut, la coopération et les mesures correctrices. L’article 20-III de la loi du 6 janvier 1978 permet le prononcé d’une amende sans mise en demeure préalable.

⬇️Télécharger la décision version officielle

Des comptes clients et documents personnels, comprenant notamment des pièces d’identité, permis de conduire, cartes grises et relevés bancaires, étaient accessibles sans authentification. Les mots de passe, fondés sur les dates de naissance, étaient transmis en clair par courriel. Malgré la correction rapide de plusieurs défauts, la CNIL a retenu un manquement à la sécurité des données et prononcé une amende administrative accompagnée d’une mesure de publicité.

Une société par actions simplifiée, intermédiaire en assurance automobile, exploitait un site permettant d’obtenir des devis et de souscrire des contrats en ligne.

À la suite d’un signalement puis d’un contrôle de la CNIL, des comptes clients et des documents personnels étaient accessibles sans authentification, notamment depuis des moteurs de recherche ou par modification d’un numéro dans l’URL. Les données comprenaient des pièces d’identité, permis de conduire, cartes grises, relevés bancaires et informations relatives à des infractions routières.

Le contrôle a également révélé que les mots de passe correspondaient aux dates de naissance, sans mesure de protection complémentaire, et qu’ils étaient transmis en clair par courriel. La société a corrigé rapidement plusieurs défauts après l’intervention de la CNIL, qui a néanmoins retenu un manquement à l’obligation de sécurité et prononcé une amende administrative ainsi qu’une mesure de publicité.

• Garantir la confidentialité des données contre les accès non autorisés
• Mettre en place une authentification et une gestion des droits d’accès
• Empêcher l’indexation des espaces et documents personnels
• Utiliser des mots de passe suffisamment robustes
• Prévoir une mesure complémentaire contre les tentatives répétées
• Protéger les mots de passe lors de leur transmission
• Évaluer les risques selon la nature et le volume des données

• Constat d’accès direct aux comptes depuis Duckduckgo
• Modification du numéro dans les adresses URL
• Accès persistant via les caches de Bing, Qwant et Yahoo
• Constat des données et pièces justificatives librement accessibles
• Formulaire indiquant la date de naissance comme mot de passe
• Constat de transmission des identifiants en clair par courriel

La société supporte une amende administrative de 180 000 euros et une mesure de publicité, malgré les corrections apportées après l’alerte. Les responsables de traitement doivent intégrer la sécurité dès la conception et pouvoir démontrer l’adéquation des mesures aux données traitées.

• Sanction financière de 180 000 euros
• Publication de la délibération pendant deux ans sous identification limitée
• Renforcement obligatoire de l’authentification et des droits d’accès
• Remplacement des mots de passe fondés sur des données personnelles
• Suppression de la transmission des mots de passe en clair

À faire

• Mettre en place une authentification préalable
• Contrôler les droits associés à chaque ressource
• Bloquer l’indexation des espaces personnels
• Imposer des mots de passe robustes
• Auditer régulièrement les URL et les accès

À éviter

• Exposer des documents sans contrôle d’accès
• Utiliser une date de naissance comme mot de passe
• Afficher le format du mot de passe
• Envoyer des identifiants en clair par courriel
• Attendre un signalement pour corriger une faille

Les mesures de sécurité exigées par l’article 32 du RGPD

La formation restreinte retient l’absence de mesures techniques et organisationnelles appropriées : authentification, gestion des droits d’accès et limitation de l’indexation par les moteurs de recherche. L’accès aux comptes et documents pouvait s’effectuer sans contrôle préalable, notamment par modification d’une URL. La correction rapide après le signalement ne supprime pas le manquement constitué par une conception défectueuse du site.

La robustesse des mots de passe et leur transmission

L’utilisation de la date de naissance comme mot de passe, son affichage sur le formulaire, l’impossibilité pour l’utilisateur d’en choisir un autre et l’absence de mesure complémentaire ne satisfaisaient pas aux exigences de sécurité retenues. La transmission du mot de passe en clair par courriel constituait également une mesure de sécurité insuffisante, le message pouvant être intercepté ou consulté par un tiers.

Les critères de l’amende administrative

Sur le fondement de l’article 83 du RGPD et de l’article 20-III de la loi du 6 janvier 1978, la sanction tient compte de la gravité, de la durée, du nombre de personnes concernées, de la nature des données, du degré de responsabilité, de la coopération et des mesures correctrices. L’absence de mise en demeure préalable ne faisait pas obstacle à la sanction.

Article 20-III de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978, Article 32 du règlement (UE) 2016/679, Article 83 du règlement (UE) 2016/679, Article 25 du règlement (UE) 2016/679, Article 58 du règlement (UE) 2016/679, Article 40 du règlement (UE) 2016/679, Article 42 du règlement (UE) 2016/679, Article 40 du décret n° 2019-536 du 29 mai 2019, Article 42 du décret n° 2019-536 du 29 mai 2019