Sécurité des données personnelles et sanction CNIL en l’absence d’authentification

L’article 34 de la loi du 6 janvier 1978 impose au responsable de traitement de prendre toutes précautions utiles au regard de la nature des données et des risques, notamment pour empêcher l’accès de tiers non autorisés. La CNIL retient un manquement lorsque des URL prévisibles permettent, par leur simple modification, d’accéder à des formulaires contenant des données personnelles, sans authentification des utilisateurs.

La mise en conformité spontanée après le contrôle ne fait pas disparaître le manquement passé. En application du dernier alinéa du I de l’article 45 de la même loi, une sanction peut être prononcée sans mise en demeure lorsque le manquement, déjà corrigé, ne peut plus utilement en faire l’objet. Les moyens de nullité ont été écartés, les contrôles étant fondés sur des constatations légalement réalisées et régulièrement documentées.

Selon l’article 47, le montant de la sanction tient compte de la gravité du manquement, des catégories de données concernées, de la négligence, des mesures correctrices, de la coopération, du nombre de personnes concernées et de la situation financière. La CNIL a retenu la sensibilité de certaines données, l’absence de précautions élémentaires, mais aussi la réaction rapide et la coopération de la société, pour fixer la sanction à 25 000 euros et en ordonner la publicité.

⬇️Télécharger la décision version officielle

La modification de certains chiffres dans des URL permettait d’accéder sans authentification aux demandes d’autres utilisateurs, contenant des données d’identification, coordonnées, informations familiales et récits liés à des plaintes. Après le signalement, la société a mis en place une authentification par cookie de session et jeton transmis par courriel. La CNIL a néanmoins retenu un manquement à la sécurité et prononcé une sanction de 25 000 euros publiée.

La société X exploitait plusieurs sites permettant d’effectuer des démarches administratives en ligne. En décembre 2016, un signalement a révélé que les données saisies dans les formulaires pouvaient être consultées sans authentification.

Lors de contrôles en ligne, la CNIL a constaté que la modification des derniers chiffres de certaines URL permettait d’accéder aux demandes d’autres utilisateurs. Les informations accessibles comprenaient des données d’identification, des coordonnées, des renseignements sur les parents, ainsi que des récits liés à des dépôts de plainte et certaines données sensibles.

Après l’alerte, la société a déployé un système d’authentification reposant sur un cookie de session et un jeton transmis par courriel. Elle a coopéré aux contrôles et fourni des éléments sur le nombre de lignes enregistrées. La formation restreinte a néanmoins retenu un manquement à la sécurité des données, écarté les moyens de nullité et prononcé une sanction pécuniaire de 25 000 euros, avec publication de la décision.

• Accès de tiers non autorisés à des données personnelles
• URL prévisibles et facilement modifiables
• Absence de dispositif d’authentification des utilisateurs
• Défaut de tests et de vérifications régulières de sécurité
• Manquement dûment constaté avant la correction
• Prise en compte de la gravité et des catégories de données

• Procès-verbaux des contrôles en ligne de la CNIL
• Constat d’accès aux données par modification des URL
• Formulaires contenant coordonnées et données sensibles
• Courriels établissant la correction après l’alerte
• Éléments fournis sur les lignes enregistrées

La société est sanctionnée pour n’avoir pas sécurisé des formulaires accessibles sans authentification, malgré une correction rapide après l’alerte. La sanction tient compte de la gravité des données exposées, de la coopération et de la situation financière de l’entreprise.

• Sanction pécuniaire fixée à 25 000 euros
• Publication de la décision pendant deux ans sous forme anonymisée
• Maintien de la responsabilité pour les manquements antérieurs à la correction
• Nécessité de tester et contrôler régulièrement les dispositifs de sécurité

À faire

• Authentifier chaque utilisateur accédant à ses démarches
• Rendre imprévisibles les identifiants présents dans les URL
• Tester la sécurité avant toute mise en production
• Effectuer des contrôles réguliers après déploiement
• Documenter les mesures correctrices et la coopération

À éviter

• Exposer des formulaires sans contrôle d’accès
• Utiliser des identifiants de demande facilement modifiables
• Négliger les fonctionnalités de sécurité disponibles
• Attendre un signalement pour vérifier les vulnérabilités
• Confondre correction rapide et disparition du manquement passé

La sanction sans mise en demeure préalable

nLa formation restreinte applique le dernier alinéa du I de l’article 45 de la loi du 6 janvier 1978. Une sanction reste possible lorsque le manquement, constaté puis corrigé spontanément, ne peut plus utilement faire l’objet d’une mise en demeure. La mise en conformité ne fait pas disparaître les manquements passés.n

La sécurité des données personnelles

nL’article 34 de la loi du 6 janvier 1978 impose de prendre toutes précautions utiles pour empêcher l’accès de tiers non autorisés. La modification simple et prévisible d’une URL, en l’absence d’authentification, caractérise le manquement lorsque des données personnelles deviennent accessibles.n

Les critères de la sanction pécuniaire

nSelon l’article 47 de la loi du 6 janvier 1978, la gravité, les catégories de données, la négligence, les mesures correctrices, la coopération et la situation financière sont pris en compte. La CNIL a retenu la sensibilité des données et l’ampleur de l’exposition, tout en tenant compte de la réaction rapide et de la coopération.

Article 11 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 47 de la loi n° 78-17 du 6 janvier 1978, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 9 de la loi n° 78-17 du 6 janvier 1978, Loi n° 2016-1321 du 7 octobre 2016