Sécurité des données personnelles et durée de conservation : la CNIL sanctionne les défaillances d’un site immobilier

La formation restreinte retient un manquement à l’article 32 du RGPD : le site permettait l’accès, sans authentification, aux documents déposés par d’autres candidats. La simple modification d’un identifiant dans l’URL suffisait à consulter des pièces sensibles. L’absence de contrôle d’accès constituait une conception défectueuse, alors que la mise en place d’une authentification aurait permis de garantir la confidentialité.

Un second manquement est caractérisé au regard de l’article 5-1-e) du RGPD. Les documents des candidats n’ayant pas obtenu de logement étaient conservés en base active sans purge ni archivage intermédiaire, alors que la finalité d’attribution des logements était atteinte. La formation retient une conservation active limitée à trois mois, puis une séparation logique ou un archivage intermédiaire répondant à une finalité déterminée.

La procédure de sanction pouvait être engagée sans mise en demeure préalable, conformément au III de l’article 45 de la loi du 6 janvier 1978. La demande de nullité des constatations a été rejetée : l’article 44 autorise la consultation et la retranscription des données librement accessibles. Les informations provenant d’une autre procédure pouvaient également être utilisées dès lors qu’elles avaient été communiquées et soumises au contradictoire.

En application de l’article 83 du RGPD et de l’article 45-III 7° de la loi précitée, une amende de 400 000 euros et une publicité de la décision ont été prononcées, en considération notamment de la durée de l’exposition, du volume et de la sensibilité des données.

⬇️Télécharger la décision version officielle

La modification d’un identifiant dans une URL permettait d’accéder sans authentification à des milliers de documents de candidats à la location, notamment des pièces d’identité, avis d’imposition et relevés bancaires. Informée plusieurs mois auparavant, la société n’a corrigé la faille qu’en septembre 2018 et conservait les documents des candidats non retenus en base active. La CNIL a retenu deux manquements au RGPD et prononcé une amende publiée.

Une société spécialisée dans la promotion et la gestion immobilières exploitait un site permettant aux candidats à la location de déposer leurs pièces justificatives.

Un utilisateur a découvert qu’en modifiant un identifiant dans une adresse URL, il pouvait accéder à des documents déposés par d’autres candidats. Lors d’un contrôle en ligne, la CNIL a téléchargé plusieurs milliers de fichiers, comprenant notamment des pièces d’identité, avis d’imposition, relevés bancaires et documents relatifs à la vie familiale et sociale. Le répertoire comportait plusieurs centaines de milliers de fichiers et demeurait accessible sans authentification.

La société avait été informée de la vulnérabilité plusieurs mois auparavant, mais celle-ci n’a été définitivement corrigée qu’en septembre 2018. Elle conservait également en base active, sans purge ni archivage intermédiaire, les documents des candidats n’ayant pas obtenu de logement.

La CNIL a rejeté les demandes procédurales de la société, retenu deux manquements au RGPD et prononcé une amende administrative ainsi que la publicité de sa décision.

• Accès possible aux données personnelles sans authentification préalable.
• Absence de mesure technique garantissant la confidentialité des documents.
• Nature sensible et volume important des données exposées.
• Maintien de la vulnérabilité pendant plusieurs mois après son signalement.
• Conservation en base active au-delà de la finalité d’attribution des logements.
• Absence de purge, de séparation logique ou d’archivage intermédiaire.

• Constat en ligne d’un accès à un avis d’imposition d’un tiers.
• Téléchargement par script de 9 446 documents accessibles.
• Constat de 290 870 fichiers dans le répertoire exposé.
• Déclarations de la société sur l’absence de purge et d’archivage.
• Signalement de la vulnérabilité reçu plusieurs mois avant sa correction.

La société est sanctionnée pour avoir laissé des documents sensibles accessibles sans authentification et conservés excessivement en base active. La décision souligne que la correction technique tardive et l’absence d’archivage séparé aggravent l’exposition aux risques de données personnelles.

• Amende administrative de 400 000 euros.
• Publicité de la décision pendant deux ans.
• Mise en place d’un contrôle d’accès authentifié.
• Suppression ou archivage séparé des dossiers non retenus.
• Déploiement immédiat de mesures provisoires en cas de vulnérabilité.

À faire

• Auditer les URL donnant accès aux documents.
• Imposer une authentification avant chaque consultation.
• Définir les durées de conservation par finalité.
• Créer une séparation logique pour l’archivage intermédiaire.
• Documenter les mesures d’urgence après tout signalement.

À éviter

• Laisser des fichiers accessibles par simple modification d’URL.
• Conserver les dossiers non retenus en base active.
• Attendre un correctif définitif sans mesure temporaire.
• Omettre le suivi des habilitations d’accès aux archives.
• Privilégier la continuité d’activité au détriment de la sécurité.

La retranscription des données librement accessibles au contrôle

nL’article 44, III, alinéa 3, de la loi Informatique et Libertés autorise les agents de la CNIL à consulter les données librement accessibles ou rendues accessibles et à les retranscrire par tout traitement approprié. Le téléchargement de copies, sans déplacement des fichiers de la base, constitue une retranscription et non une extraction. La demande de nullité des constatations en ligne a donc été rejetée.n

Les mesures de sécurité exigées par l’article 32 du RGPD

nL’article 32, paragraphes 1 et 2, du RGPD impose des mesures techniques et organisationnelles adaptées aux risques, notamment pour garantir la confidentialité et empêcher les accès non autorisés. L’absence d’authentification permettait à toute personne connaissant la structure de l’URL d’accéder aux documents. La durée de l’exposition, le nombre de fichiers et la sensibilité des pièces ont aggravé le manquement.n

La limitation de conservation des données personnelles

nL’article 5-1-e) du RGPD impose une conservation n’excédant pas la durée nécessaire à la finalité poursuivie. Après l’attribution des logements, les données des candidats non retenus ne pouvaient rester en base active au-delà de trois mois. Leur conservation ultérieure nécessitait un tri, une séparation logique ou un archivage intermédiaire assorti d’accès limités. L’absence de purge et d’archivage a caractérisé le manquement.

Article 44 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978, Article 45-III de la loi n° 78-17 du 6 janvier 1978, Article 45-III 7° de la loi n° 78-17 du 6 janvier 1978, Article 5-1-e) du RGPD, Article 32 du RGPD, Article 83 du RGPD, Article 58 du RGPD, Article 25 du RGPD, Article 89 du RGPD, Article L. 151-1 du Code de commerce