Protection des données : clôture d’une mise en demeure malgré un dispositif de blocage insuffisant

L’autorité clôt la procédure de contrôle et le dossier en l’état après examen des réponses transmises par l’organisme mis en demeure. Cette clôture n’équivaut pas à une constatation de conformité complète : l’autorité relève la persistance d’un risque concernant l’absence de restriction après plusieurs saisies d’un mot de passe erroné et demande la mise en œuvre effective du blocage annoncé.

La décision rappelle que l’article 32-I de la loi Informatique et Libertés, modifié par la loi n° 2016-1321 du 7 octobre 2016, impose d’indiquer la durée de conservation des catégories de données traitées et, sur les formulaires de collecte, le droit de définir des directives relatives au sort des données après le décès.

La persistance ou la réitération des manquements peut conduire à l’ouverture d’une procédure de sanction sur le fondement des articles 45 et suivants de la loi du 6 janvier 1978 modifiée, sans nouvelle mise en demeure préalable. La décision annonce également l’application prochaine du règlement européen 2016/679 et rappelle l’intérêt de la désignation anticipée d’un correspondant Informatique et Libertés, appelé à devenir délégué à la protection des données.

⬇️Télécharger la décision version officielle

L’autorité a clôturé le dossier et la procédure de contrôle après examen des courriers transmis par l’organisme. Elle a toutefois constaté qu’un nombre important de mots de passe erronés pouvait encore être saisi sans blocage du compte, malgré l’annonce d’une mesure corrective. La décision rappelle les obligations d’information prévues par l’article 32-I de la loi Informatique et Libertés et la possibilité d’une sanction en cas de réitération.

L’autorité avait mis en demeure une société par une décision du 24 juin 2015, dans le cadre d’une procédure de contrôle. L’organisme a adressé plusieurs courriers entre octobre 2015 et mars 2017 afin de répondre aux manquements relevés.

Après examen de ces éléments, l’autorité a décidé de clôturer en l’état le dossier et la procédure de contrôle. Elle a toutefois constaté qu’un nombre important de mots de passe erronés pouvait encore être renseigné sans restriction d’accès au compte, alors que l’organisme avait annoncé la mise en place d’une mesure de blocage.

La décision rappelle les nouvelles obligations d’information issues de l’article 32-I de la loi Informatique et Libertés et avertit qu’une persistance ou une réitération des manquements pourrait entraîner une procédure de sanction sans nouvelle mise en demeure préalable.

• Examiner les réponses adressées après la mise en demeure
• Constater l’état du dossier et de la procédure de contrôle
• Vérifier la mise en œuvre effective du blocage des accès
• Contrôler l’information sur la durée de conservation des données
• Prévenir la persistance ou la réitération des manquements

• Courrier du 22 octobre 2015
• Courriers des 3 février et 2 mars 2016
• Courrier du 19 octobre 2016
• Courrier du 24 mars 2017
• Constat d’un accès possible malgré de nombreux mots de passe erronés

L’organisme bénéficie de la clôture en l’état, mais reste exposé à des vérifications et à une procédure de sanction si les manquements persistent ou se répètent. Il doit également prendre en compte les obligations d’information relatives aux données personnelles et anticiper l’évolution du cadre européen.

• Mettre effectivement en œuvre le blocage après erreurs répétées
• Vérifier les formulaires de collecte de données
• Indiquer les durées de conservation applicables
• Informer sur les directives post-mortem
• Préparer la désignation d’un délégué à la protection des données

À faire

• Déployer le blocage après plusieurs mots de passe erronés
• Tester périodiquement la restriction d’accès
• Documenter les mesures correctrices mises en œuvre
• Indiquer les durées de conservation des données
• Préparer la désignation d’un délégué à la protection des données

À éviter

• Laisser l’accès ouvert après des tentatives répétées
• Présenter une mesure annoncée comme effectivement déployée
• Omettre les directives relatives au décès
• Négliger les obligations de l’article 32-I
• Ignorer une possible vérification ultérieure

La clôture en l’état d’une procédure de contrôle

La clôture en l’état intervient après examen des réponses adressées par l’organisme mis en demeure. Elle ne vaut pas constatation générale de conformité : l’autorité relève encore une faiblesse relative au blocage des accès et maintient la possibilité de vérifications ultérieures.

Les conditions d’une procédure de sanction sans nouvelle mise en demeure

La persistance ou la réitération des manquements visés dans la mise en demeure peut conduire à une procédure de sanction conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Une nouvelle mise en demeure préalable n’est alors pas nécessaire ; la désignation d’un rapporteur doit être notifiée à l’organisme.

Les obligations d’information prévues par l’article 32-I

L’article 32-I de la loi Informatique et Libertés, modifié par la loi n° 2016-1321 du 7 octobre 2016, impose d’indiquer la durée de conservation des catégories de données traitées ainsi que, sur les formulaires de collecte, le droit de définir des directives relatives au sort des données après le décès.

Article 32-I de la loi Informatique et Libertés, Loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, Articles 45 et suivants de la loi du 6 janvier 1978 modifiée, Règlement européen 2016/679