Sécurité des données sensibles et durée de conservation : les manquements sanctionnés par la CNIL

La CNIL retient un manquement à l’article 34 de la loi n° 78-17 du 6 janvier 1978, qui impose au responsable du traitement de prendre les précautions utiles pour préserver la sécurité des données et empêcher l’accès de tiers non autorisés. La faille concernait notamment des données révélant les opinions politiques des personnes inscrites, au sens de l’article 8 de cette loi.

La formation restreinte relève plusieurs défaillances techniques : utilisation de la méthode GET, hachage MD5 sans sel et absence de traçabilité des connexions. La circonstance que la faille soit involontaire, sa durée limitée et l’absence de preuve d’une exploitation effective ne neutralisent pas le manquement. Les mesures correctives prises après l’alerte caractérisent la bonne foi, sans exonérer le responsable du traitement.

La CNIL constate également une violation de l’article 6-5° de la loi n° 78-17, aucune durée de conservation n’ayant été définie et des données datant de 2010 demeurant en base active. La nécessité de vérifier les primo-adhésions ne justifie pas une conservation illimitée. À l’expiration de la durée utile, les données peuvent être versées en archives intermédiaires, accessibles uniquement à des personnes habilitées.

Compte tenu de l’ampleur de la fuite et de la sensibilité des données, un avertissement est prononcé et la décision est rendue publique.

⬇️Télécharger la décision version officielle

Une faille permettait l’accès libre à des fichiers contenant des données de près de 99 000 personnes, conservées parfois depuis 2010. La CNIL a relevé des insuffisances de sécurité, notamment l’utilisation d’un accès par méthode GET, d’un hachage MD5 non salé et l’absence de traçabilité. Elle a prononcé un avertissement public.

Un parti politique français utilisait une plateforme de suivi des paiements liés aux primo-adhésions en ligne. Une faille a rendu librement accessibles, depuis une URL, des fichiers contenant notamment les coordonnées, données de naissance, informations de paiement et montants de cotisation de personnes inscrites. Des informations relatives aux utilisateurs de la plateforme étaient également visibles.

La CNIL a constaté que la base comprenait 98 999 enregistrements, dont certains conservés depuis 2010, sans durée de conservation définie. L’accès reposait sur une méthode GET et un secret utilisant un hachage MD5 sans sel, tandis qu’aucun dispositif de traçabilité n’était opérationnel.

Après le signalement, le responsable du traitement a bloqué temporairement le site, supprimé un compte, réinitialisé des mots de passe et renforcé l’authentification. La CNIL a néanmoins retenu des manquements à la sécurité et à la limitation de la conservation, puis prononcé un avertissement rendu public.

• Accès libre de tiers à des données personnelles
• Utilisation d’une méthode GET insuffisamment sécurisée
• Hachage MD5 sans sel du secret d’authentification
• Absence de dispositif de traçabilité des connexions
• Données révélant directement des opinions politiques
• Absence de durée de conservation définie
• Maintien de données anciennes en base active

• Procès-verbal de constatations en ligne du 27 mai 2016
• Procès-verbal de contrôle sur place du 15 juin 2016
• Accès aux fichiers exportables au format CSV
• Constat de 98 999 enregistrements dans la plateforme
• Constat de données conservées depuis 2010
• Identification du hachage MD5 sans sel

Le responsable du traitement est sanctionné malgré la correction rapide de la faille, car les mesures de sécurité n’étaient pas suffisantes en amont. Il doit également encadrer la durée de conservation et limiter l’accès aux données anciennes.

• Avertissement prononcé à l’encontre du responsable
• Publicité de la décision pendant deux ans
• Renforcement de l’authentification et abandon de GET
• Déploiement d’une traçabilité des connexions
• Définition de durées de conservation documentées
• Versement des données anciennes en archives intermédiaires

À faire

• Définir une durée de conservation pour chaque traitement
• Transférer les données anciennes en archives intermédiaires
• Utiliser une authentification par méthode POST
• Employer un hachage robuste avec un sel
• Tracer les connexions et contrôler les accès

À éviter

• Exposer un secret d’authentification dans une URL
• Conserver indéfiniment des données en base active
• Utiliser l’algorithme MD5 sans sel
• Négliger les données révélant des opinions politiques
• Attendre un signalement pour corriger une faille

L’obligation de sécurité des données personnelles

La formation restreinte retient l’article 34 de la loi n° 78-17 du 6 janvier 1978. L’utilisation de la méthode GET, le hachage MD5 sans sel et l’absence de traçabilité constituaient des défaillances permettant l’accès de tiers non autorisés. Le caractère involontaire de la faille et les mesures correctives ultérieures n’exonéraient pas le responsable du traitement.

La protection des données révélant les opinions politiques

Les informations accessibles permettaient de révéler directement l’adhésion à un parti politique. La CNIL les qualifie de données sensibles au sens de l’article 8 de la loi n° 78-17 du 6 janvier 1978 et considère qu’elles auraient dû bénéficier de garanties de sécurité particulières. L’ampleur de la divulgation a aggravé le manquement.

La durée de conservation des données personnelles

L’article 6-5° de la loi n° 78-17 interdit une conservation excédant la durée nécessaire aux finalités du traitement. L’absence de durée définie et le maintien de données depuis 2010 caractérisent le manquement. La vérification des primo-adhésions ne justifie pas une conservation illimitée ; les données peuvent être transférées en archives intermédiaires à accès restreint.

Article 34 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 8 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 6-5° de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, Article 46 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés