Protection des données : manquements au droit d’accès et à la sécurité des mots de passe

La formation restreinte retient la responsabilité de la société pour les traitements de ses clients et prospects dès lors qu’elle en détermine les finalités et les moyens, conformément à l’article 4, paragraphe 7, du RGPD.

Deux manquements au droit d’accès sont caractérisés au regard des articles 12 et 15 du RGPD. Le responsable doit répondre dans le délai d’un mois, y compris lorsqu’il ne détient plus les données demandées. Une demande claire doit être traitée même si elle n’emprunte pas le canal dédié. Le caractère isolé des plaintes n’exclut pas la qualification du manquement.

L’article 25 du RGPD impose d’intégrer la protection des données dès la conception. La conservation d’une information relative à une ligne résiliée n’était plus nécessaire pour les facturations en cours, un identifiant du débiteur pouvant être utilisé. L’article 32 du RGPD exige des mesures de sécurité adaptées au risque : l’envoi en clair de mots de passe non temporaires, non uniques et dont le renouvellement n’était pas imposé était insuffisant, même sans violation de données constatée.

Sur le fondement de l’article 20 de la loi du 6 janvier 1978, une sanction peut être prononcée sans mise en demeure préalable. La formation restreinte inflige une amende de 300 000 euros en application des articles 20 de cette loi et 83 du RGPD. Les mesures de mise en conformité ultérieures écartent l’injonction, mais ne suppriment ni les manquements antérieurs ni la publicité de la sanction.

⬇️Télécharger la décision version officielle

La CNIL a relevé des réponses tardives ou inexistantes aux demandes d’accès et d’opposition, le maintien de références à des lignes résiliées sur des factures et la transmission en clair de mots de passe lors de la souscription. Malgré plusieurs mesures correctrices mises en œuvre après la procédure contradictoire, l’opérateur a été sanctionné d’une amende administrative de 300 000 euros, avec publication de la décision.

Un opérateur de téléphonie mobile, responsable des traitements de ses clients et prospects, a fait l’objet de 19 plaintes relatives à l’exercice des droits d’accès et d’opposition à la prospection. La CNIL a réalisé deux contrôles sur place puis un contrôle sur pièces portant notamment sur la gestion des droits et la sécurité des données.

La formation restreinte a relevé des réponses tardives ou inexistantes à des demandes d’accès, y compris lorsqu’une demande avait été adressée à un autre service. Elle a également constaté le maintien de références à des lignes résiliées sur des factures et la transmission en clair de mots de passe lors de la souscription.

Après la procédure contradictoire, l’opérateur a mis en œuvre plusieurs mesures correctrices. La CNIL a néanmoins prononcé une amende administrative de 300 000 euros et décidé la publication de la sanction, sans injonction de mise en conformité.

• Déterminer les finalités et moyens des traitements concernés.
• Répondre aux demandes d’accès dans le délai maximal d’un mois.
• Traiter toute demande claire reçue, quel que soit le canal utilisé.
• Effacer les données devenues inutiles pour la facturation.
• Adapter les mesures de sécurité aux risques d’accès indu.
• Évaluer la gravité, la durée et la persistance des manquements.

• Plaintes relatives aux demandes d’accès et d’opposition.
• Procès-verbaux des contrôles sur place.
• Absence de trace de réponses aux demandes d’accès.
• Factures mentionnant des lignes mobiles résiliées.
• Constat de transmission des mots de passe en clair.
• Pièces attestant les mesures correctrices ultérieures.

La société supporte une amende administrative de 300 000 euros et la publicité de la sanction. Ses mesures correctrices ont permis d’éviter une injonction, sans neutraliser les manquements constatés pendant les contrôles.n

• Répondre aux demandes d’accès dans le délai d’un mois.
• Transmettre les demandes reçues aux services compétents.
• Supprimer les références inutiles aux lignes résiliées dans les factures.
• Ne plus envoyer de mots de passe en clair.
• Imposer le renouvellement initial des mots de passe.
• Documenter les mesures techniques et organisationnelles adoptées.

À faire

• Enregistrer toute demande d’accès dès sa réception.
• Répondre au demandeur dans le délai d’un mois.
• Rechercher les données dans les bases d’archivage.
• Transférer les demandes mal orientées au service compétent.
• Imposer la création ou le renouvellement du mot de passe.

À éviter

• Ignorer une demande adressée hors du canal dédié.
• Répondre tardivement après une saisine de la CNIL.
• Conserver des données inutiles dans les facturations courantes.
• Transmettre un mot de passe lisible par courriel.
• Compter sur l’absence de violation pour écarter le risque.

Le délai de réponse aux demandes d’accès

nL’article 12, paragraphes 3 et 4, du RGPD impose une réponse dans un délai maximal d’un mois, y compris lorsque le responsable ne détient plus les données. L’article 15 garantit la confirmation du traitement, l’accès aux données et leur copie. Une demande claire reçue par le responsable doit être traitée, même si elle n’est pas adressée au canal dédié.n

La sécurité des mots de passe transmis

nL’article 32 du RGPD exige des mesures techniques et organisationnelles adaptées au risque. La transmission par courriel, en clair, d’un mot de passe non temporaire, non unique et sans renouvellement obligatoire expose les comptes à un accès indu. Le manquement est constitué par l’insuffisance des mesures, sans qu’une violation de données soit nécessaire.n

Les critères des mesures correctrices et de l’amende

nL’article 20 de la loi du 6 janvier 1978 permet une sanction sans mise en demeure préalable. Selon l’article 83 du RGPD, l’amende doit être effective, proportionnée et dissuasive, en tenant compte notamment de la nature, de la gravité, de la durée, de la coopération et des mesures correctrices. Les corrections ultérieures peuvent écarter l’injonction sans effacer les manquements passés.

Article 4, paragraphe 7, du règlement (UE) 2016/679, Article 12 du règlement (UE) 2016/679, Article 15 du règlement (UE) 2016/679, Article 16 du règlement (UE) 2016/679, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 21 du règlement (UE) 2016/679, Article 25 du règlement (UE) 2016/679, Article 32 du règlement (UE) 2016/679, Article 40 du décret n° 2019-536 du 29 mai 2019, Article 83 du règlement (UE) 2016/679