Sécurité des données personnelles : l’accès direct non protégé justifie un avertissement de la CNIL

L’article 34 de la loi n° 78-17 du 6 janvier 1978 impose au responsable de traitement de prendre toutes les précautions utiles, au regard de la nature des données et des risques du traitement, afin d’empêcher l’accès de tiers non autorisés. La formation restreinte retient un manquement dès lors que des données personnelles, notamment des informations de paiement, pouvaient être consultées par la simple recomposition d’URL, sans mesure de protection particulière.

L’article 35 de la même loi fait obstacle à ce que le responsable de traitement s’exonère en invoquant l’intervention de prestataires spécialisés. La délégation de cette activité ne transfère pas la responsabilité de la sécurité des données traitées pour le compte du responsable.

Le manquement ne dépend ni de la preuve d’un accès effectif par un tiers non autorisé ni de l’existence d’un préjudice. La seule insuffisance des mesures destinées à empêcher cet accès suffit. Les corrections apportées après les contrôles peuvent être prises en compte, mais elles ne font pas disparaître le manquement antérieur.

En application de l’article 45 de la loi du 6 janvier 1978 modifiée, la CNIL prononce un avertissement rendu public, compte tenu du volume et de la nature des données exposées ainsi que de la persistance de la faille malgré une première alerte.

⬇️Télécharger la décision version officielle

Un contrôle de la CNIL a révélé l’accès à plus de 1 000 fichiers contenant des données personnelles, dont des informations relatives aux paiements. Malgré le blocage initial des répertoires, les fichiers demeuraient accessibles par leurs URL directes. La société a ensuite déployé des correctifs et préparé un site sécurisé. La CNIL a retenu un manquement à la sécurité et à la confidentialité et prononcé un avertissement public.

Une société exploitant un site d’inscription à un programme de fidélité collectait les données personnelles de ses clients et gérait l’envoi d’objets promotionnels. Lors d’un contrôle en ligne, la CNIL a découvert que des répertoires mentionnés dans le fichier robots.txt permettaient d’accéder à plus de 1 000 fichiers contenant notamment des identités, coordonnées, données de naissance et informations relatives aux paiements.

Après une première intervention, l’accès aux répertoires a été bloqué, mais les fichiers restaient consultables par leur URL directe. Un second contrôle a également révélé l’accessibilité de données relatives aux cartes bancaires. La société a ensuite indiqué avoir déployé des correctifs et préparé un nouveau site sécurisé.

La CNIL a néanmoins retenu un manquement à l’obligation de sécurité et de confidentialité, puis a prononcé un avertissement public.

• Identifier des données à caractère personnel accessibles en ligne
• Constater l’absence de mesure de protection particulière
• Vérifier la possibilité d’un accès par recomposition d’URL
• Prendre en compte la persistance de l’accès après une première alerte
• Écarter l’exigence d’un préjudice ou d’un accès effectif
• Maintenir la responsabilité du responsable malgré le recours à un sous-traitant

• Constatations en ligne réalisées lors du premier contrôle
• Fichier robots.txt listant les répertoires accessibles
• Téléchargement de plus de 1 000 fichiers personnels
• Accès direct persistant aux fichiers lors du second contrôle
• Présence de données relatives aux cartes bancaires
• Procès-verbaux de contrôle notifiés à la société

Le responsable de traitement reste exposé à une sanction même après correction de la faille, lorsque l’insuffisance de sécurité était constituée. Le recours à un hébergeur ou à un prestataire ne permet pas de transférer cette responsabilité.

• Avertissement prononcé contre le responsable de traitement
• Publication de la sanction par la CNIL
• Maintien du manquement malgré les correctifs ultérieurs
• Contrôle des accès directs aux fichiers et répertoires
• Renforcement des mesures de sécurité selon l’état de l’art

À faire

• Protéger chaque répertoire contenant des données personnelles
• Bloquer les accès directs aux fichiers sensibles
• Tester régulièrement les URL et chemins non indexés
• Encadrer contractuellement les obligations du sous-traitant
• Documenter les mesures correctives après toute alerte

À éviter

• Confondre exclusion d’indexation et contrôle d’accès
• Laisser des données personnelles accessibles par URL
• Se reposer uniquement sur la compétence de l’hébergeur
• Attendre la preuve d’un préjudice pour agir
• Considérer une correction tardive comme une exonération

L’obligation de sécurité des données personnelles

L’article 34 de la loi n° 78-17 impose au responsable de traitement de prendre les précautions utiles pour empêcher l’accès de tiers non autorisés. La formation restreinte caractérise le manquement par l’absence de protection particulière alors que les données étaient accessibles par la recomposition d’URL, notamment après le premier contrôle.

La responsabilité du responsable de traitement

Selon l’article 35 de la loi n° 78-17, le recours à un sous-traitant ne l’exonère pas de ses obligations. La société demeure responsable de la sécurité et de la confidentialité des données traitées pour son compte, malgré l’intervention de professionnels de l’hébergement ou de la gestion du site.

La caractérisation du manquement sans préjudice

La CNIL juge que le manquement ne suppose ni la preuve d’un accès effectif par des tiers non autorisés ni l’existence d’un préjudice pour les personnes concernées. L’insuffisance des mesures destinées à empêcher cet accès suffit. Les corrections ultérieures ne font pas disparaître le manquement antérieur.

Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978