Protection des données : accès aux sources, effacement et sécurité des traitements sanctionnés par la CNIL

La CNIL retient plusieurs manquements au RGPD concernant l’exercice des droits, la sécurité des données et la documentation d’une violation. En application de l’article 12 du RGPD, le responsable du traitement doit répondre aux demandes d’accès et d’effacement dans un délai maximal d’un mois, y compris lorsqu’il ne détient plus les données demandées.

L’article 15 du RGPD impose de communiquer la source spécifique des données lorsque celle-ci est connue. La limitation tenant aux droits et libertés d’autrui, prévue à l’article 15, paragraphe 4, ne concerne que la demande de copie et ne permettait pas de refuser l’identité du courtier en données. La société devait également respecter l’article 17 du RGPD lorsque les demandes de suppression de comptes impliquaient l’effacement des données personnelles associées.

Sur le fondement de l’article 32 du RGPD, la CNIL sanctionne l’insuffisante robustesse des mots de passe, leur stockage et leur transmission en clair, ainsi que l’absence de contrôle effectif de l’effacement des données lors du reconditionnement de boîtiers. L’article 33, paragraphe 5, exige une documentation permettant de retracer les effets de la violation et l’ensemble des mesures correctrices.

Une amende administrative de 300 000 euros a été prononcée sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD. Une injonction, assortie d’une astreinte, impose en outre la communication de l’identité des courtiers en données.

⬇️Télécharger la décision version officielle

La société n’a pas répondu dans les délais à plusieurs demandes d’accès et d’effacement, et certains comptes de messagerie sont restés actifs plusieurs années. La CNIL a aussi relevé des mots de passe insuffisamment robustes, stockés et transmis en clair, ainsi que l’absence d’effacement effectif de données sur des boîtiers remis en circulation. Elle a prononcé une amende, une injonction sous astreinte et la publicité de la décision.

Une société opérant dans le secteur des télécommunications a fait l’objet de plusieurs plaintes relatives à l’exercice des droits d’accès et d’effacement, ainsi qu’à la sécurité des données personnelles de ses clients.

La société n’a pas répondu dans les délais à plusieurs demandes d’accès et n’a pas toujours communiqué la source précise des données détenues. Des demandes de suppression de comptes de messagerie n’ont pas été traitées, tandis que les comptes demeuraient actifs plusieurs années après leur réception.

La procédure a également révélé des mots de passe insuffisamment robustes, stockés et transmis en clair. Par ailleurs, des milliers de boîtiers remis en circulation n’avaient pas fait l’objet d’un effacement effectif des données présentes sur leurs disques durs. La documentation de cette violation ne permettait pas de retracer complètement les mesures correctrices adoptées.

La CNIL a prononcé une amende, une injonction de communiquer l’identité des courtiers en données et une astreinte, ainsi que la publicité de la décision.

• Répondre aux demandes d’accès et d’effacement dans le délai maximal d’un mois.
• Communiquer la source spécifique des données lorsqu’elle est détenue.
• Traiter une demande de suppression de compte comme une demande d’effacement des données associées.
• Mettre en place des mots de passe robustes, protégés au stockage et à la transmission.
• Contrôler effectivement l’effacement des données lors du reconditionnement des équipements.
• Documenter les effets de la violation et toutes les mesures correctrices adoptées.

• Procès-verbaux des contrôles sur place des 21 et 22 janvier 2020.
• Plaintes relatives aux retards et réponses incomplètes aux demandes d’accès.
• Constats de comptes de messagerie demeurés actifs après les demandes d’effacement.
• Éléments techniques sur les mots de passe faibles, stockés et transmis en clair.
• Constat de 4 137 boîtiers remis en circulation sans effacement effectif.
• Documentation ne permettant pas de retracer le rapatriement des boîtiers.

La société est sanctionnée pour des manquements portant sur les droits des personnes, la sécurité et la documentation des violations. Elle doit communiquer l’identité des courtiers en données concernés sous astreinte et supporter la publicité de la sanction.

• Amende administrative de 300 000 euros.
• Injonction de répondre exhaustivement aux demandes d’accès.
• Communication de l’identité des courtiers en données.
• Astreinte de 500 euros par jour de retard.
• Mise en conformité des mécanismes d’effacement et de sécurité.
• Publication de la décision pendant deux ans sous identification nominative.

À faire

• Enregistrer chaque demande d’accès ou d’effacement à sa réception.
• Répondre dans le délai maximal d’un mois.
• Identifier et communiquer la source spécifique des données.
• Renforcer les mots de passe et protéger leur stockage.
• Documenter chaque violation et les mesures correctrices prises.

À éviter

• Refuser la source des données au seul motif du secret des affaires.
• Laisser une demande sans réponse après suppression des données.
• Transmettre des mots de passe en clair sans protection complémentaire.
• Remettre un équipement en circulation sans contrôle d’effacement.
• Clôturer un incident sans documenter son traitement complet.

Le droit d’accès à la source spécifique des données

L’article 15, paragraphe 1, du RGPD impose au responsable du traitement de communiquer toute information disponible sur la source des données, et en principe la source spécifique lorsqu’il la détient. La restriction prévue à l’article 15, paragraphe 4, concernant les droits et libertés d’autrui, ne s’applique qu’à la copie des données. Le secret des affaires ne permettait donc pas de refuser l’identité du courtier en données.

Le délai de réponse aux demandes d’exercice des droits

Selon l’article 12 du RGPD, une réponse doit être fournie dans les meilleurs délais et au plus tard dans le mois suivant la demande, y compris lorsque le responsable ne détient plus les données. Une demande de suppression générale d’un compte de messagerie implique l’effacement des données personnelles associées et relève de l’article 17 du RGPD. Le maintien d’un compte actif plusieurs années après la demande caractérise le manquement.

Les mesures de sécurité adaptées aux risques

L’article 32 du RGPD exige des mesures techniques et organisationnelles adaptées aux risques. La CNIL a retenu l’insuffisance de mots de passe pouvant être composés d’une seule catégorie de caractères, leur stockage et leur transmission en clair, ainsi que l’absence de contrôle garantissant l’effacement des données lors du reconditionnement des boîtiers.

Article L.34-5 du Code des postes et des communications électroniques, Article L.34-1 du Code des postes et des communications électroniques, Article 4, paragraphe 11, du RGPD, Article 5, paragraphe 1, a), du RGPD, Article 7, paragraphe 1, du RGPD, Article 12 du RGPD, Article 15 du RGPD, Article 17 du RGPD, Article 23 du RGPD, Article 32 du RGPD, Article 33, paragraphe 5, du RGPD, Article 83 du RGPD, Article 20 de la loi n° 78-17 du 6 janvier 1978