Sécurité des données personnelles et sanction CNIL pour accès public aux commandes

La décision rappelle que l’article 34 de la loi du 6 janvier 1978 impose au responsable de traitement de prendre toutes précautions utiles pour garantir la sécurité et la confidentialité des données, notamment en empêchant l’accès de tiers non autorisés. La mise à disposition, sur un site marchand, de listes nominatives de commandes et de commentaires relatifs à leur fabrication ou à leur règlement caractérise un manquement à cette obligation.

La Commission retient également la méconnaissance de l’article 21, alinéa 2, de la même loi, qui impose aux responsables de traitements de ne pas s’opposer à son action et de prendre les mesures utiles pour faciliter ses missions. L’absence de réponse aux courriers et à la mise en demeure a été considérée comme persistante et constitutive de mauvaise foi.

La société n’avait par ailleurs pas accompli les formalités préalables applicables aux traitements de données personnelles, notamment pour son fichier de gestion des clients et prospects. Malgré la mise en demeure, aucun manquement n’a été régularisé ni justifié. Sur le fondement des articles 45 et suivants de la loi du 6 janvier 1978, la CNIL a prononcé une sanction pécuniaire de 5 000 euros et ordonné une publication aux frais de la société.

⬇️Télécharger la décision version officielle

Le site de vente de mobiliers permettait d’accéder à une liste nominative contenant des informations sur les commandes et leur règlement. La société exploitante n’a pas sécurisé ces données, accompli les formalités requises ni répondu aux sollicitations de la CNIL et à la mise en demeure. Elle n’a produit aucune observation et ne s’est pas présentée à l’audience. Des manquements à la sécurité, à la confidentialité, à l’obligation déclarative et à la coopération ont été retenus, avec sanction et publication.

La CNIL a été alertée par les services de la DDCCRF au sujet d’un site internet de vente de mobiliers. La rubrique de suivi des commandes permettait d’accéder à une liste nominative comportant des informations sur l’état de fabrication des commandes et leur règlement.

La Commission a demandé à la société exploitante de sécuriser ces données, d’accomplir les formalités préalables concernant ses traitements et de répondre à ses sollicitations. La société n’a donné aucune suite aux courriers adressés en 2007.

Après une mise en demeure restée infructueuse, un rapport de sanction lui a été notifié. Elle n’a présenté aucune observation écrite et ne s’est pas présentée à l’audience. La CNIL a retenu des manquements persistants à la sécurité et à la confidentialité, à l’obligation déclarative et à l’obligation de coopération, ainsi que sa mauvaise foi. Une sanction pécuniaire et une mesure de publication ont été prononcées.

• Accès de tiers non autorisés à des données personnelles
• Défaut de mesures assurant la sécurité et la confidentialité
• Absence de formalités préalables pour les traitements concernés
• Non-réponse persistante aux courriers et demandes de la CNIL
• Non-exécution de la mise en demeure dans le délai imparti
• Gravité des manquements et mauvaise foi retenue

• Constat des services de la DDCCRF sur le site internet
• Liste nominative des commandes accessible via leur suivi
• Commentaires relatifs à la fabrication et au règlement des commandes
• Courriers de la CNIL des 30 janvier, 5 mars et 11 avril 2007
• Accusé de réception de la mise en demeure du 10 août 2007
• Absence d’observations écrites et de comparution à l’audience

La société exploitante supporte une sanction pécuniaire et les frais de publication en raison de manquements non régularisés. Elle doit également accomplir les formalités préalables et coopérer avec la CNIL pour éviter la persistance ou l’aggravation des sanctions.

• Sanction pécuniaire de 5 000 euros
• Publication d’un extrait de la décision dans la presse
• Prise en charge des frais de publication
• Accomplissement des formalités préalables auprès de la CNIL
• Suppression de l’accès public aux données de commandes
• Réponse documentée aux demandes de la CNIL

À faire

• Restreindre immédiatement l’accès aux données de commandes
• Recenser les traitements de données personnelles concernés
• Accomplir les formalités préalables auprès de la CNIL
• Documenter les mesures correctives adoptées
• Répondre dans les délais aux demandes de la CNIL

À éviter

• Publier des listes nominatives accessibles à des tiers
• Laisser visibles les commentaires sur les clients
• Mettre en œuvre un traitement sans formalité préalable
• Ignorer une mise en demeure de la CNIL
• S’abstenir de présenter des observations au stade de la sanction

La sécurité et la confidentialité des données personnelles

nL’article 34 de la loi du 6 janvier 1978 impose au responsable du traitement de prendre toutes précautions utiles pour préserver la sécurité des données et empêcher l’accès de tiers non autorisés. La mise à disposition, sur un site internet, de listes nominatives de commandes accompagnées d’informations sur leur fabrication et leur règlement caractérise un manquement à cette obligation. La société n’ayant pas corrigé l’accès après les demandes de la CNIL, le manquement a été maintenu.n

La coopération avec la CNIL et la mauvaise foi

nL’article 21, alinéa 2, de la loi du 6 janvier 1978 interdit aux responsables de traitements de s’opposer à l’action de la Commission et leur impose de faciliter sa tâche. L’absence de réponse aux courriers de la CNIL et à la mise en demeure, malgré leur réception, a caractérisé un défaut de coopération. La Commission a retenu la mauvaise foi de la société.n

Les sanctions des manquements persistants

nLes articles 45 et suivants de la loi du 6 janvier 1978 permettent de prononcer une sanction pécuniaire. La CNIL a relevé que les manquements relatifs à la sécurité, aux formalités préalables et à la coopération n’avaient pas été régularisés après la mise en demeure. Elle a fixé une amende de 5 000 euros et ordonné la publication d’un extrait de la décision aux frais de la société.

Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 21 alinéa 2 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et suivants de la loi n° 78-17 du 6 janvier 1978