Protection des données sensibles et sécurité des fichiers de recouvrement : la sanction de la CNIL

La CNIL sanctionne la persistance de plusieurs manquements malgré une mise en demeure antérieure. Les données doivent être collectées loyalement et licitement, puis être adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux 1° et 3° de l’article 6 de la loi du 6 janvier 1978.

La collecte de données de santé demeure interdite en application de l’article 8, sauf exception strictement caractérisée. La source de l’information ne vaut pas consentement exprès, lequel doit être libre, éclairé et explicite. La finalité de recouvrement ne rend pas nécessaire le traitement de données médicales.

L’article 9, 2°, autorise les auxiliaires de justice à traiter des données relatives aux infractions uniquement pour les stricts besoins de leurs missions. Les mentions anciennes, détaillées ou étrangères au recouvrement excèdent cette limite.

En application de l’article 34, le responsable du traitement doit prendre les précautions utiles pour empêcher l’accès de tiers non autorisés. Des mots de passe individualisés mais inchangés pendant plus de dix-huit mois ne suffisent pas, notamment dans des locaux partagés.

La formation restreinte retient une conformité seulement partielle à la mise en demeure, en raison de données toujours présentes dans les bases active et archive, d’une purge ponctuelle et imparfaite, de nouveaux commentaires litigieux et de l’absence de renouvellement régulier des mots de passe. Elle prononce une sanction pécuniaire de 10 000 euros et ordonne la publication de la décision sur les sites de la CNIL et de Légifrance, conformément aux articles 45 et suivants.

⬇️Télécharger la décision version officielle

Après une première mise en demeure, une étude d’huissiers n’a pas supprimé l’ensemble des données sensibles relatives aux débiteurs. Un nouveau contrôle a révélé leur maintien dans les bases active et archive, de nouveaux commentaires illicites et des mots de passe inchangés depuis plus de dix-huit mois. La CNIL a retenu cinq manquements et prononcé une sanction de 10 000 euros, assortie de la publication de la décision.

Une étude d’huissiers partageait ses locaux et ses moyens informatiques avec une autre étude. Son progiciel de gestion contenait des informations relatives à la santé, à la vie privée, à la situation familiale et à des infractions concernant des débiteurs. L’accès initial au logiciel n’était pas protégé par mot de passe et les deux études pouvaient consulter certaines données communes.

Après un premier contrôle, la CNIL a mis l’étude en demeure de supprimer les mentions illicites, de prévenir leur réapparition, de sécuriser les accès et d’accomplir les formalités nécessaires. L’étude a déclaré avoir sensibilisé son personnel et demandé une purge informatique.

Un nouveau contrôle a toutefois révélé la persistance de données litigieuses dans les bases active et archive, une purge unique et incomplète, de nouveaux commentaires sensibles et des mots de passe inchangés depuis plus de dix-huit mois. La CNIL a retenu cinq manquements et prononcé une sanction de 10 000 euros, avec publication de la décision.

• Collecte loyale et licite des données personnelles
• Adéquation, pertinence et caractère non excessif des informations
• Absence d’exception applicable à l’interdiction des données de santé
• Traitement des infractions limité aux stricts besoins professionnels
• Suppression effective des mentions litigieuses dans les bases active et archive
• Renouvellement régulier des mots de passe individualisés

• Constats des contrôles sur place de 2006 et 2009
• Extraits de fiches contenant des données de santé et d’infractions
• Comptage des fiches supprimées, modifiées ou demeurées inchangées
• Constat d’une purge unique et fondée sur des mots-clés
• Relevé de mots de passe inchangés depuis plus de dix-huit mois

L’étude demeure responsable de la conformité des traitements qu’elle met en œuvre, même après sensibilisation du personnel ou intervention d’un prestataire. La persistance des données et l’insuffisance de la sécurité exposent à une sanction financière et à une publicité défavorable.

• Supprimer les données sensibles présentes dans toutes les bases
• Contrôler régulièrement les commentaires et leur contexte
• Limiter les données d’infractions aux besoins stricts des missions
• Renouveler périodiquement les mots de passe individualisés
• Tracer et cloisonner les accès entre études distinctes

À faire

• Auditer les bases active et archive
• Supprimer les commentaires non pertinents
• Contrôler manuellement le contexte des données
• Renouveler régulièrement les mots de passe
• Journaliser et cloisonner les accès

À éviter

• Conserver des données de santé
• Inscrire des informations familiales étrangères au recouvrement
• Traiter des infractions au-delà des missions légales
• Se limiter à une purge ponctuelle
• Laisser des mots de passe inchangés

Les critères de licéité et de proportionnalité des données

La CNIL applique les 1° et 3° de l’article 6 de la loi du 6 janvier 1978. Les données doivent être collectées loyalement et être adéquates, pertinentes et non excessives au regard des finalités du traitement. Les commentaires relatifs à la santé, aux violences, aux addictions ou à la vie familiale dépassaient le suivi du recouvrement et demeuraient illicites malgré une purge partielle.

Les conditions de traitement des données sensibles

L’article 8, I, interdit le traitement des données relatives à la santé, sauf exception. La collecte directe auprès d’une personne ne caractérise pas son consentement exprès, qui doit être libre, éclairé et explicite. L’exception liée à la défense d’un droit en justice n’était pas applicable, le traitement n’étant ni nécessaire ni destiné à cette finalité.

Les exigences de sécurité des accès informatiques

L’article 34 impose les précautions utiles pour préserver la sécurité et empêcher l’accès de tiers non autorisés. Des mots de passe individualisés, non renouvelés depuis plus de dix-huit mois, ne suffisaient pas. Le renouvellement régulier était requis, particulièrement dans des locaux partagés avec une autre étude.

Article 6, 1° et 3°, de la loi n° 78-17 du 6 janvier 1978, Article 8, I et II, de la loi n° 78-17 du 6 janvier 1978, Article 9, 2°, de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978