Délibération de la formation restreinte no SAN-2024-002 du 31 janvier 2024 concernant […]

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mme Christine MAUGÜÉ, MM. Alain DRU et Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2021-193C du 29 juin 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements de données à caractère personnel mis en œuvre par la société ou pour son compte ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 6 février 2023 ;

Vu le rapport de Mme Sophie LAMBREMON, commissaire rapporteur, notifié à […]le 20 juillet 2023 ;

Vu les observations écrites versées par […] le 8 septembre 2023 ;

Vu les observations en réponse de la rapporteure le 6 octobre 2023 ;

Vu les observations en réponse de […]le 2 novembre 2023 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 21 décembre 2023 :

Mme Sophie LAMBREMON, commissaire, entendue en son rapport ;

En qualité de représentants […] :

[…];

[…]ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

Faits et procédure

La société […] (ci-après la société ), dont le siège social est […], a été immatriculée au registre du commerce et des sociétés […]. Son chiffre d’affaires s’est élevé en 2021, à […] euros pour un résultat net de […] euros et en 2022, à […] euros pour un résultat net de […] euros.

La société […] met à disposition des particuliers un ensemble de publications et services leur permettant de conclure des transactions immobilières sans intermédiaire. La société édite le site web […] lequel propose aux particuliers de publier ou de consulter des annonces immobilières et d’avoir accès à différents outils permettant la gestion de projets immobiliers (assistance juridique, coaching immobilier, calculs de crédit, du prix au mètre carré, de l’évaluation du prix des biens à vendre et des frais de notaire).

Deux missions de contrôle ont eu lieu en application de la décision n° 2022-041C du 2 mars 2022 de la présidente de la CNIL afin de vérifier le respect par la société de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le RGPD ou le Règlement ) et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée (ci-après la loi Informatique et Libertés ). Le 8 mars 2022, les services de la CNIL ont effectué un contrôle en ligne à partir du site web […]. Le 7 avril 2022, les services de la CNIL ont procédé à un contrôle sur place dans les locaux de la société

Le contrôle en ligne du site web […] avait principalement pour objet de vérifier les modalités d’information des personnes et la procédure de création d’un compte utilisateur. Le contrôle sur place a plus spécifiquement porté sur la vérification des durées de conservation appliquées aux données des comptes utilisateurs, l’encadrement par un acte juridique des traitements effectués par un sous-traitant, les mesures techniques et organisationnelles destinées à assurer la sécurité des données collectées au moyen du site web ainsi que sur l’information des personnes de la prospection pour produits et services analogues.

Par courriels des 10 avril et 7 juin 2022, la société a transmis aux services de la Commission des éléments complémentaires.

Conformément à l’article 56 du RGPD, la CNIL a informé le 17 janvier 2023 l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle cheffe de file concernant les traitements transfrontaliers mis en œuvre par la société, résultant de ce que l’établissement unique de la société se trouve en France. Après échanges entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, il apparaît que les autorités allemande, autrichienne, belge, danoise, espagnole, finlandaise, grecque, irlandaise, italienne, néerlandaise, norvégienne, polonaise, portugaise et suédoise sont concernées par le traitement, des comptes utilisateurs ayant été créés par des personnes résidant dans ces États.

Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 6 février 2023, désigné Mme Sophie LAMBREMON en qualité de rapporteur sur le fondement de l’article 22 de la loi Informatique et Libertés.

Le 20 juillet 2023, la rapporteure a fait notifier à la société un rapport détaillant les manquements aux articles 5-1-e), 12, 13, 28 et 32 du RGPD ainsi qu’à l’article L.34-5 du code des postes et des communications électroniques, qu’elle estimait constitués en l’espèce.

Le 8 septembre 2023, la société a produit des observations en réponse au rapport de sanction.

Le 6 octobre 2023, la rapporteure a répondu aux observations de la société.

Le 3 novembre 2023, la société a transmis de nouvelles observations en réponse aux observations de la rapporteure.

Par courrier du 9 novembre 2023, la rapporteure a informé la société que l’instruction était close, en application de l’article 40, III, du décret modifié n° 2019-536 du 29 mai 2019.

Par courrier du même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 30 novembre 2023.

Par courriel du 14 novembre 2023, le conseil de la société a sollicité un renvoi de la séance de la formation restreinte.

Par courrier du 16 novembre 2023, le conseil de la société a été informé du report de la séance au 21 décembre 2023.

La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.

Motifs de la décision

Sur la procédure de coopération européenne

En application de l’article 60 paragraphe 3 du RGPD, le projet de décision adopté par la formation restreinte a été transmis le 29 décembre 2023 aux autorités de contrôle européennes concernées.

Au 26 janvier 2024, aucune des autorités de contrôle concernées n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé.

Sur le manquement à l’obligation de limitation de la durée de conservation des données

Aux termes de l’article 5-1, e) du RGPD, les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées .

La rapporteure a relevé que, lors du contrôle sur place, la société a indiqué avoir défini une politique de conservation des données différente selon le type d’usagers du site web […]. Ainsi, concernant les données des clients (personnes ayant recours aux services payants du site), la rapporteure a relevé que la société avait défini une durée de conservation de dix ans à compter de la date d’acceptation de la commande. Elle a relevé que la conservation systématique et sans distinction de toutes les données de comptes durant dix ans n’apparaissait pas justifiée au regard de l’obligation légale tirée du code de la consommation et que dans l’extraction de la base de données fournie figuraient des données relatives à des transactions inférieures à 120 euros dont la conservation n’apparaissait pas justifiée. Concernant les données des utilisateurs (personnes ayant recours aux services gratuits du site), la rapporteure a relevé que si la société avait défini une durée de conservation de cinq ans à partir de la date de la dernière connexion au compte, il ressortait du contrôle sur place que la société avait conservé 2 394 538 lignes depuis plus de cinq ans et moins de dix ans et 737 563 lignes depuis plus de dix ans.

En défense, concernant les données des clients ayant recours à des annonces payantes, la société a, lors de l’instruction, précisé conserver l’annonce et l’adresse électronique durant dix ans à des fins de respect des obligations légales tirées des articles L.213-1, D.213-1 et D.213-2 du code de la consommation, de lutte contre la fraude et en raison des spécificités liées à l’activité immobilière. Elle a détaillé les deux formules payantes proposées aux clients : soit un contrat sans engagement pour 59 euros par mois qui s’analyse en un contrat unique à durée indéterminée, soit un contrat de trois mois souscrit pour 135 euros. Pour les contrats sans engagement, estimant ne pas être mesure de déterminer à l’avance la durée du contrat, la société a précisé conserver toutes les données relatives à ces contrats pour une durée de dix ans quel qu’en soit le montant final. Elle considère en outre qu’il y a lieu de prendre en compte les enjeux financiers des annonces et contrats de vente de biens conclus ensuite d’un montant bien supérieur à 120 euros. Elle a également indiqué que la durée de conservation des années de naissance était réduite à vingt-cinq mois et celle des données relatives à un compte inactif à trois ans d’inactivité.

Concernant les données relatives aux utilisateurs, la société a, lors de l’instruction, précisé conserver uniquement l’adresse électronique et le compte associé pour une durée de cinq ans à des fins contentieuses et de lutte contre la fraude et avoir supprimé les données conservées au-delà de cette durée de cinq ans.

La formation restreinte rappelle qu’il incombe au responsable de traitement de définir et de mettre en œuvre une durée de conservation des données n’excédant pas celle nécessaire au regard de la finalité pour laquelle elles sont traitées.

S’agissant des durées pertinentes, à titre illustratif, la formation restreinte relève que dans son référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion des activités commerciales, la CNIL précise que les données nécessaires à l’exécution d’un contrat sont conservées durant la relation contractuelle et que le respect d’une obligation légale incombant à l’organisme peut, notamment, justifier une durée de conservation plus longue. A défaut, la conservation doit reposer sur une autre base légale prévue à l’article 6 du RGPD.

Aux termes de l’article L. 213-1 du code de la consommation : Lorsque le contrat est conclu par voie électronique et qu’il porte sur une somme égale ou supérieure à un montant fixé par décret, le contractant professionnel assure la conservation de l’écrit qui le constate pendant un délai déterminé par ce même décret et en garantit à tout moment l’accès à son cocontractant si celui-ci en fait la demande. .

L’article D. 213-1 du même code prévoit que [l]e montant mentionné à l’article L. 213-1 est fixé à 120 euros et l’article D. 213-2 dispose que [l]e délai mentionné à l’article L. 213-1 est fixé à dix ans à compter de la conclusion du contrat lorsque la livraison du bien ou l’exécution de la prestation est immédiate. Dans le cas contraire, le délai court à compter de la conclusion du contrat jusqu’à la date de livraison du bien ou de l’exécution de la prestation et pendant une durée de dix ans à compter de celle-ci .

En l’espèce, la formation restreinte relève tout d’abord, s’agissant de la conservation des données des clients, que la durée de conservation de dix ans à compter de la date d’acceptation de la commande définie par la société est justifiée par ses obligations légales résultant du code de consommation précitées pour les contrats d’un montant supérieur à 120 euros. Ainsi, la formation restreinte considère que, pour les contrats de trois mois proposés par la société d’un montant de 135 euros, la conservation des données pour une durée de dix ans est pleinement justifiée.

En revanche, la formation restreinte relève que, pour les contrats sans engagement d’un montant de 59 euros par mois, la société conserve par défaut les données relatives à ces contrats dès qu’ils sont conclus et quand bien même le montant total versé par l’utilisateur serait inférieur à 120 euros. Or, dans le cas où un client n’aurait utilisé les services payants de la société que pour un ou deux mois, c’est-à-dire pour une somme inférieure à 120 euros, la durée de conservation des données prévue par le code de la consommation ne trouverait pas à s’appliquer. La formation restreinte relève que l’article D.213-1 du code de la consommation précise expressément lorsque le contrat (…) porte sur une somme égale ou supérieure . La seule somme à prendre en considération est donc celle du contrat conclu entre […] et le client, d’autant que […] est tiers au contrat de vente de bien conclu entre le client vendeur et l’acheteur. Par suite, la formation restreinte considère que la conservation des données des clients se trouvant dans la situation qui vient d’être décrite n’est pas rendue obligatoire par le respect du code de la consommation, contrairement à ce que la société indique.

En tout état de cause, la formation restreinte constate qu’il ressort d’une extraction de 100 lignes correspondant à des comptes de clients ayant passé des commandes il y a plus de cinq ans que 69 d’entre elles concernaient des commandes d’un montant inférieur à 120 euros. Partant, la formation restreinte considère que la société a conservé les données de comptes non concernées par l’article D. 213-1 du code de la consommation pour des durées excessives.

Ensuite, la formation restreinte relève, s’agissant de la conservation des données des utilisateurs, que la société a défini une durée de cinq ans qui commence à courir à la date de la dernière connexion au compte utilisateur. La formation restreinte considère que les explications fournies par la société lors de l’instruction justifient la durée de conservation à des fins contentieuses et de lutte contre la fraude.

Néanmoins, la formation restreinte observe qu’il ressort du contrôle sur place que la société avait conservé 2 394 538 lignes correspondant à des comptes d’utilisateurs de plus de cinq ans à compter de la date de la dernière connexion et moins de dix ans et 737 563 lignes correspondant à des comptes utilisateurs de plus de dix ans à compter de la date de la dernière connexion.

La formation restreinte relève qu’il résulte de ce qui précède que lorsque la durée de conservation est atteinte, les données personnelles doivent être supprimées. Dès lors, il ressort des pièces du dossier qu’à la date du contrôle sur place, la société conservait les données de comptes utilisateurs au-delà de ce qui était nécessaire au regard de la finalité annoncée.

En conséquence, la formation restreinte considère que les faits qui précèdent caractérisent un manquement à l’article 5-1-e) du RGPD. La formation restreinte relève que la société s’est partiellement mise en conformité au cours de la procédure avec l’application d’une durée de conservation adéquate des données de comptes utilisateurs au regard des différentes finalités poursuivies en procédant à la suppression des données relatives à ces comptes inactifs depuis plus de cinq ans. Cette mise en conformité ne saurait exonérer la société de sa responsabilité pour le passé.

Sur le manquement à l’obligation d’information des personnes

L’article 13 du RGPD dresse la liste des informations devant être fournies à la personne concernée lorsque les données à caractère personnel sont collectées directement auprès d’elle. Ces informations portent notamment sur l’identité du responsable de traitement et ses coordonnées, les finalités du traitement mis en œuvre, sa base juridique, les destinataires ou les catégories de destinataires des données, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données vers un pays tiers. L’article impose également au responsable de traitement, lorsque cela apparaît nécessaire pour garantir « un traitement équitable et transparent  » des données personnelles en l’espèce, d’informer les personnes sur la durée de conservation des données, l’existence des différents droits dont bénéficient les personnes, l’existence du droit de retirer son consentement à tout moment et le droit d’introduire une réclamation auprès d’une autorité de contrôle.

Dans son rapport, la rapporteure relève en substance que l’information fournie par la société sur le site web […], à travers sa page politique de protection des données personnelles , était incomplète ou imprécise, faute de préciser les traitements auxquels se rapportent les bases légales, les destinataires ou catégories de destinataires de données, le droit d’introduire une réclamation auprès de la CNIL et les durées de conservation définies par la société. La rapporteure note toutefois que la société s’est, depuis les contrôles, engagée dans une démarche de mise en conformité, sans que cela remette en cause les manquements pour le passé.

En défense, la société conteste le manquement. Elle estime seulement avoir délivré les informations de façon imprécise. Elle indique s’être mise en conformité depuis les contrôles en modifiant et complétant sa politique de protection des données personnelles. S’agissant des bases juridiques applicables aux traitements, la société évoque une maladresse de présentation. S’agissant de la mention des destinataires ou catégories de destinataires, elle considère qu’elle n’était pas tenue de fournir l’identité de l’intégralité des destinataires de données.

La formation restreinte relève qu’il ressort des constats faits lors des contrôles que s’agissant du site web […], une politique de protection des données personnelles était accessible depuis le pied de la page d’accueil, document auquel le formulaire de création d’un compte utilisateur renvoyait également. Or, il apparaît que si les bases juridiques étaient indiquées, aucune explication ne figurait s’agissant des traitements auxquels elles se rapportaient.

En outre, la formation restreinte relève, à l’instar de la rapporteure, que la société indiquait le nom d’un seul de ses sous-traitants, […], qui est en charge des paiements effectués sur le site. Hormis ce cas de figure, aucune information n’était délivrée concernant les autres destinataires ou catégories de destinataires des données à caractère personnel. Or, la formation restreinte relève qu’il ressort des contrôles que la société avait au moins deux autres sous-traitants destinataires des données à caractère personnel.

Aussi, la formation restreinte considère que la société n’a pas respecté les dispositions de l’article 13 (1) du RGPD.

Ensuite, la formation restreinte relève, d’une part, que cette politique de protection des données personnelles ne mentionnait pas le droit d’introduire une réclamation auprès de la CNIL et, d’autre part, que les durées de conservation indiquées étaient inexactes.

Or, la formation restreinte considère que ces informations, en ce qu’elles contribuent à assurer pour les utilisateurs la maîtrise sur le traitement de leurs données, sont importantes pour garantir un traitement équitable et transparent.

La formation restreinte considère que l’absence de mention du droit d’introduire une réclamation auprès de la CNIL et l’imprécision de l’information relative à la durée de conservation des données des utilisateurs dans la politique de confidentialité de la société, constituent un manquement à l’article 13 (2) du RGPD.

En conséquence, la formation restreinte considère que la société a commis un manquement à l’article 13 du RGPD. Elle précise que le manquement pris en compte est celui qui a été cristallisé au moment des contrôles et prend acte de ce que la société s’est mise en conformité.

Sur le manquement lié à l’obligation d’encadrer par un acte juridique les traitements effectués pour le compte du responsable de traitement

En vertu de l’article 28, paragraphe 3, du Règlement, le traitement effectué par un sous-traitant pour le compte d’un responsable de traitement est régi par un contrat ou tout autre acte juridique formalisé qui définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées ainsi que les obligations et les droits du responsable de traitement. Ce contrat prévoit en outre les conditions dans lesquelles le sous-traitant s’engage à effectuer pour le compte du responsable de traitement les opérations de traitement.

La rapporteure a constaté que les documents contractuels des sociétés […], sous-traitantes de la société, ne contenaient pas toutes les mentions prévues par l’article susmentionné.

En défense, la société conteste le manquement pour ce qui concerne la relation contractuelle avec la société […]. A cet égard, elle précise que cette dernière est régie par un contrat qui renvoie à un accord de traitements des données, lequel contient les mentions exigées par l’article 28. Concernant le contrat conclu avec la société […], la société indique avoir conclu un avenant au contrat contenant les mentions prévues à l’article 28. Enfin, la société déclare avoir mis fin à la relation contractuelle avec la société […].

La formation restreinte relève que s’agissant des documents contractuels de la société […] la société avait fourni à la délégation de la CNIL le seul contrat conclu le 19 novembre 2021. Elle a, par la suite, versé en réponse au rapport de sanction l’accord de traitement de données auquel renvoie le contrat. La formation restreinte considère que ces documents contractuels lus dans leur ensemble comportent toutes les mentions nécessaires. Le manquement n’est donc pas constitué pour cette relation contractuelle.

S’agissant ensuite du contrat conclu avec la société […], la formation restreinte relève que l’avenant produit par la société en réponse au rapport de sanction a été conclu le 7 septembre 2023. La formation restreinte relève que cet avenant contient l’ensemble des mentions requises mais considère que le manquement est constitué pour le passé au regard de la date de signature dudit avenant. La formation restreinte considère en effet que le caractère rétroactif de l’avenant dont se prévaut la société ne saurait venir couvrir le manquement pour le passé dans la mesure où lors des contrôles le contrat conclu ne contenait pas les mentions requises.

S’agissant enfin du contrat conclu avec la société […], la formation restreinte considère qu’eu égard aux pièces produites, il n’est pas établi que cette société traitait de données à caractère personnel pour le compte de la société […] et disposait de la qualité de sous-traitant au sens du RGPD. Aussi le manquement à l’article 28 n’est pas caractérisé.

En définitive, la formation restreinte considère que le manquement à l’article 28, paragraphe 3, du RGPD est constitué pour les faits passés concernant le contrat régissant la relation avec la société […].

Sur les manquements à l’obligation d’assurer la sécurité des données

Aux termes de l’article 32 du RGPD, 1. Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :

la pseudonymisation et le chiffrement des données à caractère personnel ;

des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;

des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ;

une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement .

Sur les mots de passe et références confidentielles

La rapporteure relève que, d’une part, lors du contrôle en ligne, la délégation avait constaté que lors de la création d’un compte utilisateur sur le site web de la société, les mots de passe d’un caractère unique (un chiffre ou une lettre) étaient acceptés et qu’aucune restriction d’accès en cas d’échec d’authentification n’était mise en œuvre. En outre, la rapporteure relève que, lors des contrôles, chaque mot de passe était à la fois stocké en clair et haché avec l’algorithme de hachage Bcrypt.

D’autre part, la rapporteure relève que, lors du contrôle sur place, la délégation était informée qu’au dépôt d’une annonce sans détenir de compte, l’utilisateur se voyait communiquer en clair une référence confidentielle constituée de dix caractères alphanumériques dont les sept premiers étaient publics puisque correspondant aux caractères de la référence de l’annonce déposée sur le site. Cette référence confidentielle ne pouvait être modifiée par l’annonceur. Cette seule référence permettait à l’utilisateur d’accéder directement à l’annonce et à l’espace associé sur le site après l’avoir renseignée dans le champ correspondant. Par ailleurs, cette référence confidentielle qui s’apparente à un mot de passe était stockée en clair dans la base de données.

En défense, la société ne conteste pas en substance les manquements mais déclare avoir pris des actions correctives. Tout d’abord, elle annonce avoir adapté sa politique de mots de passe en exigeant des mots de passe d’une longueur de huit caractères composés d’au moins une majuscule, une minuscule, un chiffre et un caractère spécial. Elle rappelle que désormais les mots de passe sont hachés avec l’algorithme Bcrypt et que les mots de passe conservés en clair ont été supprimés. Ensuite, la société précise ne plus communiquer de références confidentielles aux utilisateurs exigeant la création d’un compte sur le site et avoir mis en place le blocage de l’espace propriétaire après dix tentatives de connexion infructueuses.

En premier lieu, la formation restreinte rappelle qu’il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement est tenu de s’assurer que le traitement automatisé de données qu’il met en œuvre est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit, d’autre part, en tenant compte de l’état de connaissances et du coût des mesures.

La formation restreinte considère tout d’abord que des règles de complexité des mots de passe trop permissives, qui autorisent l’utilisation de mots de passe insuffisamment robustes, peuvent conduire à des attaques par des tiers non autorisés, telles que des attaques par force brute ou par dictionnaire , qui consistent à tester successivement et de façon systématique de nombreux mots de passe et conduisent, ainsi, à une compromission des comptes associés et des données à caractère personnel qu’ils contiennent.

Elle relève, à cet égard, que la nécessité d’un mot de passe fort est recommandée tant par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) que par la Commission dans sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe, exigence confirmée dans sa délibération n° 2022-100 du 21 juillet 2022.

A titre d’illustration, la formation restreinte rappelle que la Commission considère dans sa délibération n° 2017-012 du 19 janvier 2017 – qui n’a certes pas un caractère impératif mais qui fournit un éclairage pertinent sur les mesures qu’il convient de prendre en matière de sécurité – que, pour assurer un niveau de sécurité et de confidentialité suffisant, dans l’hypothèse où l’authentification repose uniquement sur un identifiant et un mot de passe, ce dernier doit être composé d’au minimum douze caractères comprenant des majuscules, des minuscules, des chiffres et des caractères spéciaux.

[… passage central omis : décision trop longue pour une cellule …]

En outre, comme l’a souligné la rapporteure, cette référence confidentielle permet d’accéder aux données à caractère personnel présentes dans l’espace propriétaire associées à la personne ayant publié l’annonce, de les modifier et modifier également l’annonce. Au surplus, l’accès à cet espace permet d’accéder aux échanges intervenus entre le propriétaire et les personnes intéressées par l’annonce à l’occasion desquels de nombreuses informations personnelles peuvent être transmises (situations familiale, professionnelle, financière).

Aussi, une authentification reposant sur l’utilisation, d’une part, d’un mot de passe, par le passé court et dépourvu de mesure de sécurité complémentaire, actuellement toujours insuffisamment robuste en l’absence de mesure de sécurité complémentaire et, d’autre part, d’une référence confidentielle non modifiable, transmise en clair et sans complexité suffisante, peut conduire à des attaques par des tiers non autorisés et ainsi à une compromission des comptes utilisateurs et de l’espace propriétaire et des nombreuses données à caractère personnel qu’ils contiennent.

En conséquence, la formation restreinte considère que la politique des mots de passe et de la référence confidentielle déployée était et demeure insuffisamment robuste pour garantir la sécurité des données traitées, ce qui méconnaît l’article 32 du RGPD.

En deuxième lieu, la formation restreinte rappelle que la conservation des mots de passe de manière sécurisée constitue une précaution élémentaire en matière de protection des données à caractère personnel. Dès 2013, l’ANSSI alertait et rappelait les bonnes pratiques s’agissant de la conservation des mots de passe en indiquant qu’ils doivent être stockés sous une forme transformée par une fonction cryptographique à sens unique (fonction de hachage) et lente à calculer telle que PBKDF2 et que la transformation des mots de passe doit faire intervenir un sel aléatoire pour empêcher une attaque par tables précalculées (ANSSI, Bulletin d’actualité CERTA-2013-ACT-046 , 15 novembre 2013, https://www.cert.ssi.gouv.fr/actualite/CERTA-2013-ACT-046/).

De même, dans sa délibération n° 2017-012 du 19 janvier 2017, la CNIL indiquait déjà qu’elle recommande [que le mot de passe] soit transformé au moyen d’une fonction cryptographique non réversible et sûre (c’est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l’utilisation d’un sel ou d’une clé . En effet, les fonctions de hachage non robustes présentent des vulnérabilités connues qui ne permettent pas de garantir l’intégrité et la confidentialité des mots de passe en cas d’attaque par force brute après compromission des serveurs qui les hébergent.

En l’espèce, la formation restreinte relève que la conservation en clair, d’une part, des mots de passe d’utilisateurs, associés à leurs identifiants et à leur adresse électronique, et, d’autre part, des références confidentielles, associées à un espace personnel, ne permet pas de garantir leur sécurité. Cette modalité de conservation implique que toute personne ayant accès à la base de données des clients de la société – que ce soit un administrateur des systèmes d’information de la société ou un attaquant en cas de compromission – peut les consulter, les collecter, les modifier ou encore les vendre.

Dans ces conditions, la formation restreinte considère que les modalités de stockage des mots de p