Sécurité des données personnelles : l’accès libre aux API constitue un manquement à l’article 34

La formation restreinte retient un manquement dès lors que des API permettaient à tout internaute d’accéder, sans authentification, à des données personnelles nombreuses et sensibles. La société aurait dû restreindre l’accès aux réponses des API par un processus d’authentification et limiter ces réponses aux seules données nécessaires à l’affichage du site.

L’erreur de code, l’absence d’atteinte démontrée à la vie privée, le statut de l’auteur de la révélation et l’obligation de moyens invoquée ne font pas obstacle au constat du manquement. Les mesures correctives prises après la révélation établissent la réactivité de la société, mais ne remédient pas à l’insuffisance des mesures préventives.

La gravité est appréciée au regard du nombre de personnes concernées, de l’étendue des catégories de données accessibles et de la durée de l’exposition, proche de trois ans. Ces éléments justifient un avertissement ainsi que la publicité de la décision. La procédure repose sur l’article 46 de la même loi, qui a fondé la désignation du rapporteur.

⬇️Télécharger la décision version officielle

Les contrôles ont établi que l’accès concernait les utilisateurs de nombreux départements et qu’il était possible de consulter les données d’un utilisateur déterminé. Les API étaient disponibles depuis une période comprise entre juillet 2012 et novembre 2013.

Après avoir été informée, la société a supprimé ou modifié les API concernées le 2 août 2016. Une nouvelle vérification, en janvier 2017, n’a plus révélé d’accès aux données. La société a invoqué une erreur de code, l’absence d’atteinte à la vie privée et les mesures correctives prises. La CNIL a néanmoins retenu un manquement à l’obligation de sécurité et prononcé un avertissement public.

• Accès aux données personnelles par des tiers non autorisés
• Absence de processus d’authentification des API
• Transmission de données excédant les nécessités de l’affichage
• Insuffisance des précautions élémentaires avant l’incident
• Ampleur de la violation au regard du nombre de personnes concernées
• Prise en compte de la durée d’accessibilité des données

• Procès-verbaux des contrôles en ligne et sur place
• URL renvoyant directement des réponses JSON d’API
• Accès constaté aux données par modification du numéro de département
• Accès possible aux données d’un utilisateur via son identifiant
• Reconnaissance par la société de l’incident de sécurité
• Nouvelle vérification confirmant la suppression de l’accès

• Avertissement prononcé contre la société
• Publication de la décision pendant deux ans
• Suppression ou modification des API vulnérables
• Restriction des réponses aux données strictement nécessaires
• Mise en place d’une authentification des accès

À faire

• Authentifier les accès aux API exposant des données personnelles
• Limiter chaque réponse aux données nécessaires au service
• Tester les URL et paramètres accessibles publiquement
• Tracer et documenter les contrôles de sécurité
• Corriger immédiatement toute exposition constatée

À éviter

• Laisser une API répondre sans contrôle d’accès
• Transmettre des données inutiles à l’affichage
• Exposer les identités complètes des utilisateurs
• Attendre un signalement avant de contrôler les interfaces
• Se limiter à invoquer une erreur de code

Les précautions utiles exigées par l’article 34

La formation restreinte retient que le responsable du traitement doit empêcher l’accès de tiers non autorisés aux données personnelles. L’article 34 de la loi n° 78-17 imposait ici une authentification des API et la limitation des réponses aux seules données nécessaires à l’affichage du site.

Les critères de gravité d’une violation de données

La gravité est appréciée au regard du nombre de personnes concernées, de la multiplicité et de la précision des données accessibles, ainsi que de la durée de l’exposition. L’accès a concerné plus de personnes et s’est prolongé pendant près de trois ans.

La portée des mesures correctives postérieures

La réaction rapide et la modification des API démontrent la bonne foi de la société, mais ne suppriment pas le manquement constitué par l’absence de mesures élémentaires préalables. La gravité justifie un avertissement et la publicité de la décision.