Sécurité des données personnelles et surveillance du sous-traitant : la sanction CNIL en cas de vulnérabilité

L’article 34 de la loi n° 78-17 du 6 janvier 1978 impose au responsable du traitement de prendre toutes les précautions utiles, au regard de la nature des données et des risques du traitement, afin d’empêcher notamment l’accès de tiers non autorisés.

La CNIL retient un manquement lorsque la société n’a imposé aucun cahier des charges spécifique à son sous-traitant et n’a pas vérifié, après une modification d’infrastructure sensible, la réalisation d’un protocole complet de tests avant la mise en production. L’erreur humaine du prestataire ne fait pas disparaître la responsabilité du responsable du traitement.

La réaction rapide, la correction de la vulnérabilité, l’absence d’extraction massive, l’audit de sécurité et la coopération avec la CNIL sont pris en compte pour déterminer le montant de la sanction, sans exclure le manquement. Une sanction pécuniaire de 40 000 euros est prononcée et la décision est rendue publique. La procédure de sanction s’inscrit dans le cadre de l’article 46 de la même loi.

⬇️Télécharger la décision version officielle

Une modification de l’infrastructure serveur a rendu accessibles, par ajout de paramètres à l’URL, les données personnelles de 35 327 personnes, dont leur identité, date de naissance, adresse et numéro de permis. La suppression involontaire d’une ligne de code avait fait réapparaître un formulaire contenant ces données. Malgré un correctif déployé rapidement par le sous-traitant, la CNIL a retenu une négligence dans sa surveillance et prononcé une sanction de 40 000 euros publiée.

Une société de location de véhicules avait créé un site permettant à ses clients d’adhérer à un programme de réductions. Une vulnérabilité apparue après une modification de l’infrastructure serveur rendait accessibles, en ajoutant certains paramètres à l’URL, les données personnelles de 35 327 personnes : identité, date de naissance, adresses et numéro de permis de conduire.

Le développement du site avait été confié à un sous-traitant, sans cahier des charges spécifique. La suppression involontaire d’une ligne de code lors du remplacement d’un serveur avait provoqué la réapparition d’un formulaire contenant les données personnelles. Après l’alerte de la CNIL, le sous-traitant a déployé un correctif en quelques heures et la vulnérabilité a cessé. Aucun téléchargement massif n’a été identifié.

La CNIL a néanmoins retenu une négligence dans la surveillance du sous-traitant et prononcé une sanction pécuniaire de 40 000 euros, assortie de la publicité de la décision.

• Existence d’une violation de données à caractère personnel
• Accessibilité des données à des tiers non autorisés
• Absence de cahier des charges spécifique imposé au sous-traitant
• Opération de changement de serveur présentant une sensibilité particulière
• Absence de protocole complet de tests avant la mise en production
• Négligence dans la surveillance des actions du sous-traitant

• Constat en ligne de l’accès aux données par modification de l’URL
• Données identifiantes accessibles concernant 35 327 personnes
• Rapport d’incident établi par le sous-traitant
• Contrôles réalisés dans les locaux de la société et du sous-traitant
• Audit de sécurité révélant des insuffisances chez le sous-traitant
• Analyse des journaux excluant un téléchargement massif

La société supporte une sanction de 40 000 euros et la publicité de la décision en raison d’un défaut de surveillance du sous-traitant. Le sous-traitant doit corriger rapidement les vulnérabilités et mettre en œuvre les recommandations d’audit, tandis que la CNIL tient compte de la coopération et de la remédiation dans l’appréciation de la sanction.

• Sanction pécuniaire de 40 000 euros pour la société
• Publicité de la décision pendant deux ans
• Renforcement du contrôle des opérations techniques du sous-traitant
• Réalisation de tests complets avant chaque mise en production
• Suivi documenté des audits et recommandations de sécurité

À faire

• Imposer un cahier des charges de sécurité au sous-traitant
• Tester intégralement les applications après chaque changement serveur
• Documenter les contrôles avant mise en production
• Auditer régulièrement les traitements externalisés
• Réagir et corriger immédiatement toute vulnérabilité signalée

À éviter

• Laisser un sous-traitant développer sans exigences documentées
• Déployer une modification sans protocole de recette complet
• Se fier à une clause contractuelle sans contrôle effectif
• Négliger la surveillance des interfaces avec les prestataires de paiement
• Attendre un téléchargement massif pour traiter une violation

L’article 34 de la loi Informatique et Libertés

La formation restreinte applique l’article 34 de la loi n° 78-17 du 6 janvier 1978. Le responsable du traitement doit prendre toutes les précautions utiles, compte tenu de la nature des données et des risques, pour empêcher notamment l’accès de tiers non autorisés. L’absence de cahier des charges et de tests complets après une opération serveur caractérise l’insuffisance des mesures de sécurité.

La surveillance des sous-traitants

La responsabilité du responsable du traitement est retenue malgré l’erreur humaine du sous-traitant. La société devait encadrer le développement du site et contrôler la mise en production après une modification affectant l’interface avec le prestataire de paiement. La clause contractuelle de protection des données ne suffit pas à établir l’accomplissement de cette surveillance.

Les critères de la sanction pécuniaire

La sanction tient compte de l’accès aux données directement identifiantes de 35 327 personnes et de la négligence constatée. La formation restreinte prend toutefois en considération la réaction rapide, la correction de la vulnérabilité, l’absence d’extraction massive, l’audit de sécurité et la coopération avec la CNIL. Le montant est fixé à 40 000 euros, avec publicité de la décision.

Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978