Sécurité des données personnelles : manquements persistants aux obligations de la loi Informatique et Libertés

L’article 6-5° de la loi du 6 janvier 1978 impose une conservation des données limitée à la durée nécessaire aux finalités poursuivies. La formation restreinte considère toutefois que le manquement correspondant n’est pas caractérisé.

En revanche, l’article 34 impose au responsable du traitement de prendre les précautions utiles pour préserver la sécurité des données et empêcher l’accès de tiers non autorisés. La persistance, après expiration du délai de mise en conformité, de défauts de sécurisation du site, de mots de passe insuffisamment robustes, d’une gestion défaillante des accès au back office et de l’absence de verrouillage automatique généralisé caractérise le manquement. Les mesures adoptées ultérieurement sont sans incidence sur cette appréciation.

L’article 35 exige que le sous-traitant présente des garanties suffisantes et que le contrat précise ses obligations en matière de sécurité et de confidentialité, ainsi que l’intervention sur instruction du responsable du traitement. Une clause contractuelle limitée aux droits d’accès et de rectification ne satisfait pas ces exigences.

La persistance des manquements aux articles 34 et 35, le nombre de personnes concernées et la sensibilité des données justifient une sanction pécuniaire de 50 000 euros et la publicité de la délibération.

⬇️Télécharger la décision version officielle

Après une plainte liée à la communication téléphonique d’un mot de passe, la CNIL a relevé des défauts persistants de sécurisation du site, des règles insuffisantes concernant les mots de passe, un accès au back office sans authentification forte et un verrouillage incomplet des postes. Le contrat de sous-traitance ne prévoyait pas les garanties requises. Les manquements à la sécurité et à l’encadrement du sous-traitant ont justifié une sanction de 50 000 euros et la publicité de la délibération.

Une société exploitant un réseau de magasins et un site internet comptant environ 170 000 comptes utilisateurs a fait l’objet d’une plainte après la communication téléphonique d’un mot de passe à une cliente.

La CNIL a effectué un premier contrôle, puis a mis la société en demeure de corriger plusieurs manquements relatifs à la conservation, à l’information des personnes et à la sécurité des données. Un second contrôle et une audition ont révélé la persistance de défauts de sécurisation du site, de règles insuffisantes concernant les mots de passe des clients et des salariés, d’un accès au back office sans authentification forte et d’un verrouillage automatique incomplet des postes.

Le contrat conclu avec un sous-traitant ne comportait pas les stipulations requises sur la sécurité, la confidentialité et l’intervention sur instruction de la société. La formation restreinte de la CNIL a écarté le manquement relatif à la durée de conservation, mais retenu ceux concernant la sécurité des données et l’encadrement du sous-traitant. Elle a prononcé une sanction pécuniaire de 50 000 euros et ordonné la publicité de la délibération.

• Persistance du manquement à l’expiration du délai de mise en conformité
• Absence de sécurisation suffisante des pages d’accès et de modification
• Robustesse insuffisante des mots de passe des clients
• Gestion défaillante du renouvellement des accès au back office
• Absence d’authentification forte pour l’accès distant
• Absence de verrouillage automatique généralisé des postes
• Contrat de sous-traitance dépourvu d’obligations de sécurité et de confidentialité

• Procès-verbal du contrôle sur place du 23 février 2015
• Procès-verbal d’audition du 3 juin 2015
• Constat d’absence de sécurisation de la page de connexion
• Constat d’insuffisante complexité des mots de passe clients
• Constat d’absence d’authentification forte et de verrouillage généralisé
• Examen du contrat conclu avec le sous-traitant

La société supporte une sanction pécuniaire de 50 000 euros et la publicité de la délibération en raison de manquements persistants à la sécurité des données et à l’encadrement du sous-traitant. Le responsable du traitement doit formaliser les mesures de sécurité et les obligations contractuelles applicables aux prestataires.

• Payer la sanction pécuniaire de 50 000 euros
• Assurer la sécurisation complète des accès au site
• Imposer le renouvellement des mots de passe clients
• Mettre en place une authentification forte du back office
• Prévoir le renouvellement autonome des mots de passe salariés
• Insérer les obligations de sécurité dans les contrats de sous-traitance

À faire

• Sécuriser les pages de connexion et de modification des mots de passe
• Imposer le renouvellement des mots de passe clients
• Définir une politique de gestion des mots de passe salariés
• Déployer une authentification forte pour le back office
• Insérer les obligations de sécurité dans chaque contrat de sous-traitance

À éviter

• Conserver des pages web non sécurisées
• Utiliser des mots de passe insuffisamment complexes
• Centraliser le renouvellement des accès auprès d’une seule personne
• Limiter la sécurité des postes à la protection physique des locaux
• Se prévaloir de corrections postérieures pour contester un manquement antérieur

La sécurité des données personnelles au titre de l’article 34

Le manquement est caractérisé lorsque, à l’expiration du délai de mise en conformité, persistent des défauts de sécurisation du site, une robustesse insuffisante des mots de passe, une gestion déficiente des accès au back office et l’absence de verrouillage automatique généralisé. Les corrections ultérieures, notamment la mise en place du protocole HTTPS, ne retirent pas le manquement constitué à la date pertinente.

Les obligations contractuelles envers le sous-traitant

L’article 35 impose au responsable du traitement de veiller aux garanties du sous-traitant et de prévoir au contrat les obligations relatives à la sécurité et à la confidentialité, ainsi que l’intervention sur instruction. Une clause portant seulement sur l’accès et la rectification des données du responsable du traitement ne satisfait pas ces exigences.

Les critères de la sanction pécuniaire et de sa publicité

La persistance des manquements aux articles 34 et 35, le nombre de personnes concernées et la sensibilité des données justifient une sanction pécuniaire de 50 000 euros. La formation restreinte décide également de rendre publique la délibération.

Loi n° 78-17 du 6 janvier 1978, Article 6-5° de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978, Article 45 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978