Sécurité des données personnelles et encadrement des sous-traitants : les manquements sanctionnés par la CNIL

La décision retient la responsabilité de la société selon une appréciation concrète de ses activités. Elle agit comme sous-traitant pour les services fournis aux marchands, mais comme responsable du traitement lorsqu’elle réutilise, pour ses propres recherches, les données dont elle détermine les finalités et les moyens, conformément à l’article 4 du RGPD et à l’article 28, paragraphe 10.

L’article 28, paragraphes 3 et 4, impose que les traitements confiés à un sous-traitant ultérieur soient encadrés par un contrat ou un autre acte juridique comportant les mentions obligatoires et garantissant la mise en œuvre de mesures appropriées. Un questionnaire déclaratif ne remplace pas cet acte et la mise en conformité engagée pendant la procédure n’efface pas le manquement antérieur.

L’article 32 du RGPD impose un niveau de sécurité adapté au risque. Le stockage durable de données personnelles et bancaires sur un serveur accessible depuis Internet, sans restriction d’accès ni journalisation, caractérise un manquement. La persistance de la vulnérabilité après l’entrée en application du RGPD permet son appréciation au regard de ce texte.

En application de l’article 34, la société devait informer les personnes concernées dès lors que la violation présentait un risque élevé. La nature des données, leur volume, leur identifiabilité et les risques d’hameçonnage ou d’usurpation justifiaient une information individuelle au moins partielle ou une communication publique.

La CNIL peut constater, sur le fondement des articles 8 et 20 de la loi du 6 janvier 1978, des manquements révélés par ses investigations, même distincts de l’incident initial. Une amende de 180 000 euros a été prononcée sur le fondement de l’article 83 du RGPD, avec publicité de la sanction.

⬇️Télécharger la décision version officielle

Des données concernant environ douze millions de personnes, comprenant notamment des informations d’identité, des coordonnées et des données bancaires, sont restées accessibles depuis Internet pendant plusieurs années. La CNIL a relevé une sécurité insuffisante du serveur, des contrats incomplets avec des sous-traitants ultérieurs et un défaut d’information des personnes concernées. Elle a prononcé une amende administrative de 180 000 euros et la publicité de la sanction.

Une société anonyme, établissement de paiement et prestataire de services de paiements récurrents, traitait les données de débiteurs de plusieurs marchands. Elle intervenait principalement comme sous-traitant, mais a réutilisé des données personnelles pour un projet interne de lutte contre la fraude, en tant que responsable du traitement.

Importées sur un serveur en 2015, les données sont restées accessibles depuis Internet jusqu’en février 2020, sans mesures de sécurité particulières. Elles concernaient environ douze millions de personnes et comprenaient notamment des données d’identité, des coordonnées et des informations bancaires.

La CNIL a constaté l’insuffisance des contrats conclus avec plusieurs sous-traitants ultérieurs, l’absence de sécurité adaptée du serveur et le défaut d’information des personnes concernées. Elle a prononcé une amende administrative de 180 000 euros ainsi que la publicité de la sanction.

• Déterminer concrètement les finalités et moyens du traitement.
• Formaliser les obligations des sous-traitants ultérieurs par un acte juridique contraignant.
• Insérer les mentions obligatoires prévues par l’article 28 du RGPD.
• Mettre en œuvre une sécurité adaptée aux risques du traitement.
• Évaluer le risque élevé selon la nature, le volume et l’identifiabilité des données.
• Informer les personnes concernées ou recourir à une communication publique efficace.

• Contrats et avenants dépourvus de clauses obligatoires.
• Questionnaires de sous-traitance à valeur seulement déclarative.
• Constat d’un serveur accessible par adresse IP et port sans restriction.
• Absence de journalisation des accès au serveur.
• Notifications de violation et éléments transmis à la CNIL.

La société supporte une amende administrative de 180 000 euros et la publicité de la sanction. Elle doit formaliser ses relations avec les sous-traitants ultérieurs, renforcer la sécurité des traitements et organiser l’information des personnes en cas de risque élevé.

• Exclusion des questionnaires comme substituts aux contrats obligatoires
• Révision des contrats et avenants de sous-traitance
• Restriction et journalisation systématiques des accès
• Évaluation documentée du risque lié aux violations
• Information individuelle ou publique des personnes concernées

À faire

• Identifier le rôle juridique pour chaque traitement
• Signer un acte avec chaque sous-traitant ultérieur
• Vérifier toutes les clauses de l’article 28
• Restreindre et journaliser les accès aux serveurs
• Documenter l’évaluation du risque de violation

À éviter

• Utiliser un questionnaire déclaratif comme contrat
• Conserver des données sur un serveur exposé
• Laisser expirer un projet sans supprimer les données
• Minimiser le risque lié aux données bancaires
• Omettre d’informer les personnes exposées

Le statut de responsable du traitement selon les finalités

La société est sous-traitant pour les services fournis aux marchands lorsqu’elle ne détermine pas les finalités du traitement. Elle devient responsable du traitement pour le projet interne de recherche contre la fraude, dont elle a déterminé seule les finalités et les moyens. Cette qualification concrète relève de l’article 4 du RGPD et de l’article 28, paragraphe 10.

Les obligations contractuelles envers les sous-traitants ultérieurs

L’article 28, paragraphes 3 et 4, exige un contrat ou un autre acte juridique imposant au sous-traitant ultérieur les obligations de protection des données et comportant les mentions obligatoires. Un questionnaire déclaratif ne constitue pas un acte contraignant. L’absence de clauses essentielles dans plusieurs contrats caractérise le manquement, même si des avenants sont conclus pendant la procédure.

La notification d’une violation présentant un risque élevé

L’article 34 du RGPD impose la communication aux personnes concernées lorsque la violation est susceptible d’engendrer un risque élevé. La nature des données, leur volume, leur facilité d’identification et les risques d’hameçonnage ou d’usurpation justifiaient cette information. La fermeture ultérieure du serveur ne supprimait pas le risque, et une information partielle ou publique restait possible.

Article 4 du RGPD, Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 28 paragraphes 3, 4 et 10 du RGPD, Article 32 du RGPD, Article 34 du RGPD, Article 56 paragraphe 1 du RGPD, Article 60 paragraphes 3 et 6 du RGPD, Article 83 du RGPD