Données sensibles et sécurité des fichiers de débiteurs : sanction CNIL d’une étude d’huissiers

La CNIL sanctionne la persistance de cinq manquements relatifs à la collecte, à la pertinence, aux données de santé, aux données d’infractions et à la sécurité des traitements. Les articles 6, 8, 9 et 34 de la loi du 6 janvier 1978 imposent respectivement une collecte loyale et licite, des données adéquates et non excessives, un encadrement strict des données sensibles et des mesures propres à empêcher les accès non autorisés.

Les commentaires relatifs à la santé, aux addictions, à la violence familiale ou à l’incarcération excédaient la finalité de recouvrement et de suivi des procédures. Le consentement exprès ne pouvait être déduit de la simple communication des informations, et l’exception liée à l’exercice d’un droit en justice n’était pas applicable. Les données d’infractions ne pouvaient être conservées qu’à hauteur des stricts besoins des missions d’huissier.

La suppression ponctuelle par mots-clés, limitée à la base active et sans contrôle du contexte, ne permettait pas d’assurer la conformité. La séparation des bases et l’individualisation des mots de passe constituaient des améliorations, mais l’absence de renouvellement depuis plus de dix-huit mois caractérisait une sécurité insuffisante au regard de l’article 34.

En application de l’article 45 et suivants, une sanction pécuniaire de 10 000 euros a été prononcée et publiée, compte tenu de la nature et de la réitération des manquements.

⬇️Télécharger la décision version officielle

Une étude d’huissiers a conservé dans son progiciel des commentaires sensibles concernant des débiteurs, malgré une mise en demeure et une purge partielle par mots-clés. Le contrôle ultérieur a révélé la persistance de ces données dans les bases active et archive, l’apparition de nouveaux commentaires et l’absence de renouvellement des mots de passe individualisés depuis plus de dix-huit mois. Cinq manquements ont été retenus et sanctionnés de 10 000 euros.

Une étude d’huissiers partageait ses locaux et certains moyens informatiques avec une autre étude. Lors d’un contrôle, la CNIL a découvert dans un progiciel de gestion des débiteurs des commentaires relatifs à la santé, aux addictions, à la vie familiale, aux violences et aux incarcérations. L’application était initialement accessible sans mot de passe et le traitement n’avait pas fait l’objet des formalités préalables requises.

Après une mise en demeure ordonnant la suppression des données, la sécurisation des accès et la réalisation des formalités, l’étude a procédé à une purge partielle par mots-clés. Un nouveau contrôle a révélé le maintien de données litigieuses dans les bases active et archive, ainsi que l’apparition de nouveaux commentaires. Les mots de passe individualisés n’avaient pas été renouvelés depuis plus de dix-huit mois.

La CNIL a retenu cinq manquements et prononcé une sanction pécuniaire de 10 000 euros, assortie de la publication de la décision.

• Collecte loyale et licite des données personnelles.
• Données adéquates, pertinentes et non excessives.
• Finalité limitée au recouvrement et au suivi des procédures.
• Traitement des données de santé justifié par une exception légale.
• Données d’infractions limitées aux stricts besoins de la mission.
• Accès individualisés et renouvellement régulier des mots de passe.

• Constats des contrôles sur place de 2006 et 2009.
• Extractions de fiches contenant des commentaires sensibles ou excessifs.
• Maintien de données litigieuses dans les bases active et archive.
• Présence de nouveaux commentaires après la mise en demeure.
• Constat de mots de passe non renouvelés depuis plus de dix-huit mois.

L’étude d’huissiers est exposée à une sanction pécuniaire et à la publicité de la décision en raison de manquements persistants. Elle doit renforcer la gouvernance des traitements, limiter les commentaires aux besoins stricts des missions et assurer une sécurité effective des accès.

• Supprimer les données de santé et d’infractions non nécessaires.
• Contrôler les bases actives et archives, sans purge aveugle par mots-clés.
• Informer les personnes de la collecte et des finalités.
• Renouveler régulièrement les mots de passe individualisés.
• Limiter les accès aux seuls dossiers de l’étude concernée.
• Documenter les contrôles, purges et actions du correspondant informatique et libertés.

À faire

• Recenser les commentaires contenant des données sensibles.
• Supprimer les informations sans lien avec la finalité.
• Vérifier les bases actives et archivées.
• Renouveler périodiquement les mots de passe.
• Documenter les contrôles et purges effectués.

À éviter

• Collecter des informations sans informer les personnes.
• Conserver des données de santé non nécessaires.
• Utiliser des données d’infractions au-delà des missions légales.
• Remplacer mécaniquement des mots sans analyser le contexte.
• Autoriser des accès entre études juridiquement distinctes.

La collecte loyale et licite des données personnelles

La CNIL a retenu une collecte déloyale au regard de l’article 6, 1°, de la loi du 6 janvier 1978 : les personnes concernées n’étaient pas informées de la destination et du traitement des informations recueillies auprès d’elles ou de tiers. La poursuite de cette collecte après la mise en demeure caractérisait le manquement.

La proportionnalité des données au regard des finalités

Selon l’article 6, 3°, les données doivent être adéquates, pertinentes et non excessives. Les mentions relatives aux drogues, à la violence familiale, à la santé ou à la vie privée excédaient les besoins du recouvrement et du suivi des procédures. Une purge ponctuelle par mots-clés, sans analyse du contexte et limitée à la base active, ne suffisait pas.

La protection des données sensibles et des accès

Les articles 8, 9 et 34 interdisaient ou encadraient strictement le traitement des données de santé et d’infractions, et imposaient des mesures de sécurité adaptées. Le consentement exprès ne résultait pas de la seule origine des informations ; l’exception liée au droit en justice n’était pas applicable. Le non-renouvellement des mots de passe depuis plus de dix-huit mois a constitué une sécurité insuffisante.

Article 6, 1° et 3°, de la loi n° 78-17 du 6 janvier 1978, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 9, 2°, de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 45 et suivants de la loi n° 78-17 du 6 janvier 1978