Sanction CNIL pour défaut de sécurisation d’un site exposant des données personnelles

La formation restreinte retient un manquement à l’article 34 de la loi du 6 janvier 1978 modifiée : le responsable du traitement doit prendre les précautions utiles, au regard de la nature des données et des risques, afin d’empêcher l’accès de tiers non autorisés. L’absence de contrôle de l’authentification avant l’affichage des factures et bons de commande caractérise ce manquement.

Sur le fondement du dernier alinéa du I de l’article 45, une mise en demeure préalable n’est pas systématiquement exigée lorsque le manquement passé ne peut plus être corrigé par une mesure produisant effet pour l’avenir. Les moyens de nullité tirés de l’absence de mise en demeure et de l’atteinte aux droits de la défense sont donc écartés, les éléments du rapport ayant été communiqués et un délai suffisant ayant été accordé.

L’estimation de l’ampleur de l’incident à partir d’un échantillon est admise lorsque la nature du manquement le permet et que les données disponibles ne permettent pas d’en déterminer précisément l’étendue. La présence de données sensibles au sens de l’article 8 et de NIR renforce la gravité du manquement.

En application de l’article 47, la sanction doit être proportionnée à la gravité du manquement, aux avantages éventuels, au caractère intentionnel ou négligent, aux mesures correctives, à la coopération, aux catégories de données et à la révélation des faits. La réactivité postérieure de la société n’efface pas le défaut initial. Une sanction de 250 000 euros et la publication de la décision sont prononcées.

⬇️Télécharger la décision version officielle

Des URL permettaient d’accéder sans authentification aux factures et bons de commande d’autres clients, contenant notamment leurs coordonnées, dates de naissance et corrections ophtalmologiques. La société a corrigé le défaut deux jours après l’alerte, mais la CNIL a relevé l’absence de contrôles élémentaires lors de la mise en production et d’éléments attestant d’audits antérieurs. Une sanction de 250 000 euros, accompagnée d’une publication, a été prononcée.

La société, spécialisée dans le commerce de détail d’optique, exploitait un site permettant à ses clients d’accéder à leurs factures et bons de commande. Une vérification en ligne a révélé que des URL permettaient d’accéder à des documents appartenant à d’autres clients sans authentification préalable.

Les fichiers accessibles contenaient notamment des noms, adresses, dates de naissance, corrections ophtalmologiques et, pour certains, des numéros d’inscription au répertoire national d’identification des personnes physiques. Un échantillon de fichiers a pu être téléchargé. La société a été alertée puis a corrigé le défaut de sécurité deux jours plus tard en ajoutant un contrôle de connexion.

La CNIL a néanmoins constaté l’absence de mesures élémentaires de contrôle lors de la mise en production, ainsi que l’insuffisance d’éléments établissant l’existence d’audits ou de tests de sécurité antérieurs. Elle a écarté les moyens de nullité, retenu un manquement à l’obligation de sécurité et prononcé une sanction pécuniaire de 250 000 euros, accompagnée de la publication de la décision.

• Accès de tiers non autorisés à des données personnelles
• Absence de contrôle d’authentification avant l’affichage des documents
• Défaut de précautions élémentaires lors de la mise en production
• Insuffisance des tests et audits de sécurité préalables
• Présence de données sensibles et de NIR
• Possibilité d’estimer l’ampleur à partir d’un échantillon

• Procès-verbal de constatation en ligne du 31 juillet 2017
• Procès-verbal de contrôle sur place du 9 août 2017
• Factures et bons de commande accessibles sans authentification
• Téléchargement d’un échantillon de fichiers contenant des données personnelles
• Reconnaissance de l’absence de contrôle de connexion

La société est sanctionnée pour ne pas avoir sécurisé l’accès aux documents personnels avant leur mise en production. La correction rapide de la faille est prise en compte, mais ne neutralise ni le manquement passé ni les risques liés aux données divulguées.

• Sanction pécuniaire de 250 000 euros
• Publication de la délibération pendant deux ans
• Renforcement obligatoire du contrôle d’accès aux espaces clients
• Formalisation des tests et procès-verbaux de recette
• Documentation des audits et correctifs du prestataire

À faire

• Contrôler l’authentification avant chaque accès documentaire
• Tester les paramètres d’URL avant mise en production
• Réaliser des audits réguliers du site et du code
• Formaliser les procédures de recette et de déploiement
• Conserver les preuves des correctifs et contrôles effectués

À éviter

• Exposer des ressources sans contrôle d’accès préalable
• Déployer une fonctionnalité sans tests de sécurité complets
• Limiter la sécurité à des échanges informels
• Attendre un signalement externe pour corriger une faille
• Contester l’ampleur d’un incident sans éléments probants

La mise en demeure préalable aux sanctions de l’article 45

La mise en demeure n’est pas systématiquement exigée. Selon le dernier alinéa du I de l’article 45 de la loi du 6 janvier 1978 modifiée, la formation restreinte peut sanctionner directement un manquement qui ne peut faire l’objet d’une mise en conformité par mise en demeure, celle-ci ne produisant d’effets que pour l’avenir. La libre accessibilité passée des données ne pouvait être corrigée par une mesure ultérieure.

La sécurité des données personnelles au sens de l’article 34

L’article 34 de la loi du 6 janvier 1978 modifiée impose de prendre toutes précautions utiles pour empêcher l’accès de tiers non autorisés. L’absence de vérification de l’authentification avant l’affichage de factures et bons de commande constitue un manquement. La modification aisée d’un paramètre d’URL et l’absence de tests complets avant mise en production ont été déterminantes.

Les critères de proportionnalité de l’article 47

L’article 47 impose de tenir compte de la gravité, des avantages éventuels, de la négligence, des mesures correctives, de la coopération, des catégories de données et de la révélation du manquement. La réactivité de la société a été relevée, mais la quantité de documents, la présence de données sensibles et de NIR ainsi que les risques de divulgation ont justifié une sanction de 250 000 euros et sa publication.

Convention n° 108 du Conseil de l’Europe du 28 janvier 1981, Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978, Article 75 du décret n° 2005-1309 du 20 octobre 2005