Conservation excessive et sécurité insuffisante des données personnelles : la CNIL sanctionne les manquements au RGPD

La formation restreinte retient un manquement à l’article 5, paragraphe 1, e), du RGPD, qui impose de ne pas conserver les données personnelles au-delà de la durée nécessaire aux finalités poursuivies. L’organisme conservait des données de comptes inactifs au-delà de la durée annoncée, sans procédure automatisée de purge ou d’anonymisation. Une conservation répondant à des obligations légales, comptables, fiscales ou précontentieuses peut être admise, mais les données pertinentes doivent être isolées en archivage intermédiaire, pour une durée nécessaire et avec un accès limité.

Un manquement distinct à l’article 32 du RGPD est caractérisé par l’insuffisance des mesures de sécurité. Les mots de passe étaient limités à huit caractères sans exigence de complexité ni protection complémentaire, transmis en clair par courriel et conservés en clair dans la base. L’absence d’alerte en cas de modification augmentait également le risque d’usurpation. La responsabilité ne dépend pas de la réalisation préalable d’un accès frauduleux : l’insuffisance des mesures au regard des risques suffit.

Sur le fondement de l’article 20, III, de la loi du 6 janvier 1978 et de l’article 83 du RGPD, une amende de 250 000 euros est prononcée. La formation retient la durée, la gravité, le caractère structurel des manquements, le nombre de comptes exposés, la négligence, la taille de l’organisme et les efforts de mise en conformité ultérieurs. Ces derniers n’effacent pas les manquements passés. La sanction est rendue publique.

⬇️Télécharger la décision version officielle

La CNIL a constaté qu’un site d’informations légales conservait les comptes inactifs au-delà de trente-six mois et stockait des mots de passe limités à huit caractères, transmis et conservés en clair. L’organisme ne disposait pas non plus d’alerte lors de leur modification. Une amende de 250 000 euros et la publication de la décision ont été prononcées.

Un groupement d’intérêt économique exploite un site de diffusion d’informations légales sur les entreprises. Pour créer un compte ou souscrire un abonnement, les utilisateurs renseignent notamment leur identité, leurs coordonnées, un numéro de téléphone et une question secrète. Les abonnés fournissent aussi des données bancaires.

Après une plainte relative à la conservation et à la transmission des mots de passe, la CNIL a contrôlé le site en ligne. Elle a constaté la conservation de données de comptes inactifs au-delà de trente-six mois, sans purge ou anonymisation automatique. Elle a également relevé des mots de passe limités à huit caractères, transmis et conservés en clair, ainsi que l’absence d’alerte lors de leur modification.

La formation restreinte retient des manquements aux articles 5, paragraphe 1, e), et 32 du RGPD, prononce une amende administrative de 250 000 euros et ordonne la publication de la décision, avec anonymisation ultérieure de l’organisme.

• Identifier la finalité et la durée nécessaire de conservation.
• Supprimer ou anonymiser automatiquement les comptes devenus inactifs.
• Isoler les données pertinentes en archivage intermédiaire sécurisé.
• Imposer des mots de passe suffisamment robustes et protégés.
• Éviter la transmission et la conservation des mots de passe en clair.
• Adapter les mesures techniques aux risques et aux volumes traités.
• Contrôler régulièrement les mesures mises en œuvre par le sous-traitant.

• Le procès-verbal du contrôle en ligne du 4 mars 2021.
• Le fichier recensant les comptes conservés au-delà de trente-six mois.
• La Charte de confidentialité fixant une durée de conservation de trente-six mois.
• Les constatations relatives aux mots de passe limités à huit caractères.
• Les éléments établissant leur transmission et leur conservation en clair.

Le responsable du traitement est sanctionné pour des pratiques structurelles affectant la conservation et la sécurité de millions de comptes. Les corrections engagées pendant la procédure peuvent atténuer l’appréciation de la sanction, mais ne suppriment pas la responsabilité pour les manquements antérieurs.

• Amende administrative de 250 000 euros pour le responsable du traitement.
• Publication de la sanction sur les sites de la CNIL et de Légifrance.
• Suppression ou anonymisation des comptes inactifs au-delà de la durée nécessaire.
• Mise en place de mots de passe robustes et non transmis en clair.
• Contrôle documenté des mesures de sécurité du sous-traitant.

À faire

• Documenter chaque finalité et durée de conservation.
• Automatiser la purge ou l’anonymisation des comptes inactifs.
• Isoler les archives intermédiaires et restreindre leurs accès.
• Renforcer les règles de robustesse des mots de passe.
• Auditer régulièrement les mesures du sous-traitant.

À éviter

• Conserver des données identifiantes sans limitation de durée.
• Utiliser une durée non prévue dans la politique d’information.
• Transmettre des mots de passe permanents en clair.
• Stocker les mots de passe et réponses secrètes en clair.
• Reporter la mise en conformité malgré les risques identifiés.

La durée proportionnée de conservation des données personnelles

L’article 5, paragraphe 1, e), du RGPD impose une conservation limitée à la durée nécessaire aux finalités du traitement. La conservation au-delà de la durée annoncée, sans purge ni anonymisation automatique, caractérise un manquement structurel. Une conservation ultérieure pour des obligations légales ou des besoins contentieux suppose l’identification de la finalité, la sélection des seules données pertinentes et leur placement en archivage intermédiaire avec accès limité.

Les mesures techniques et organisationnelles de sécurité

L’article 32 du RGPD exige un niveau de sécurité adapté aux risques. La formation retient l’insuffisance de mots de passe limités à huit caractères sans complexité ni mesure complémentaire, leur transmission en clair, leur conservation en clair et l’absence d’alerte lors d’une modification. Le manquement peut être établi sans violation de données ou accès frauduleux effectivement constaté, dès lors que les mesures déployées sont inadaptées aux risques.

Les critères de l’amende administrative fondée sur l’article 83 du RGPD

L’article 20, III, de la loi du 6 janvier 1978 et l’article 83 du RGPD permettent de prononcer une amende effective, proportionnée et dissuasive. La formation prend en compte la nature, la gravité et la durée des violations, le nombre de personnes concernées, les catégories de données, la négligence, la coopération, la situation financière et les mesures correctrices. Les efforts ultérieurs n’effacent pas la responsabilité passée.

Article 5, paragraphe 1, e), du RGPD, Article 32 du RGPD, Article 56 du RGPD, Article 60, paragraphes 3 et 6, du RGPD, Article 83 du RGPD, Articles 20 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 40 du décret n° 2019-536 du 29 mai 2019