Sécurité des données bancaires et durée de conservation : les manquements sanctionnés par la CNIL

La décision retient un manquement à l’article 34 de la loi du 6 janvier 1978 modifiée, qui impose au responsable de traitement de prendre les précautions utiles pour préserver la sécurité des données et empêcher l’accès de tiers non autorisés. La conservation en clair de milliers de numéros de cartes bancaires dans des champs de commentaires dépourvus de mesures d’obfuscation ou de tokenisation, accessibles à des prestataires externes, caractérise une insuffisance de sécurité. Le recours à un sous-traitant ne libère pas le responsable de traitement de ses obligations, conformément à l’article 35, alinéa 3, de la même loi.

La formation restreinte constate également la violation de l’article 6-5 de la loi du 6 janvier 1978 modifiée. Les cryptogrammes visuels ne peuvent être conservés au-delà du temps strictement nécessaire à la transaction, tandis que les comptes clients et prospects doivent faire l’objet de règles de conservation, d’archivage ou de purge conformes à la finalité du traitement. L’absence de mécanisme défini et effectivement appliqué suffit à caractériser le manquement.

Les mesures correctives postérieures, la purge des données et la rupture du contrat d’un prestataire n’effacent pas les manquements constatés. La nature et le volume des données justifient un avertissement ainsi que la publicité de la décision.

⬇️Télécharger la décision version officielle

Une société conservait en clair 4 179 numéros de cartes bancaires, parfois associés à leurs cryptogrammes, dans des champs accessibles à des prestataires externes. Elle conservait également des comptes clients et des prospects depuis plus de trois ans. La CNIL a retenu des manquements à la sécurité, à la confidentialité et aux durées de conservation, puis a prononcé un avertissement public.

Une société de vente à distance conservait dans sa base de données 4 179 numéros de cartes bancaires en clair, dont certains associés à des cryptogrammes visuels. Ces informations étaient inscrites dans des champs de commentaires accessibles à des prestataires externes. Un contrôle sur place a également révélé la conservation de nombreux comptes de clients inactifs depuis plus de trois ans et de prospects n’ayant jamais commandé depuis plus de trois ans.

La société invoquait une erreur d’un prestataire, l’existence d’une équipe de sécurité et des mesures correctives engagées après le contrôle. La formation restreinte de la CNIL a retenu des manquements à la sécurité et à la confidentialité des données ainsi qu’aux règles de durée de conservation. Elle a prononcé un avertissement et décidé de rendre sa délibération publique.

• Conserver les données bancaires dans un environnement sécurisé
• Empêcher l’accès des prestataires non autorisés aux données en clair
• Mettre en œuvre des mesures d’obfuscation ou de tokenisation
• Supprimer les cryptogrammes après la vérification de la transaction
• Définir des durées de conservation conformes aux finalités
• Organiser effectivement l’archivage, la purge ou l’anonymisation

• Procès-verbal du contrôle sur place du 11 février 2016
• Constat de 4 179 numéros de cartes conservés en clair
• Présence de plus de 3 000 cryptogrammes visuels
• Registre établissant l’accès des prestataires externes
• Constat de comptes clients et prospects anciens en base active

Le responsable de traitement demeure exposé malgré l’intervention d’un prestataire et les corrections engagées après le contrôle. Les manquements peuvent entraîner une sanction et la publicité de la décision lorsque le volume et la sensibilité des données le justifient.

• Exposition à un avertissement pour défaut de sécurité
• Maintien de la responsabilité malgré la sous-traitance
• Suppression immédiate des cryptogrammes après usage
• Mise en place de règles de purge et d’archivage
• Risque de publicité de la sanction pendant deux ans

À faire

• Cartographier les champs contenant des données bancaires
• Supprimer les cryptogrammes après la transaction
• Chiffrer, obfusquer ou tokeniser les numéros conservés
• Encadrer les accès des prestataires externes
• Documenter les durées d’archivage, de purge et d’anonymisation

À éviter

• Enregistrer des données bancaires dans des champs libres
• Conserver les cryptogrammes pour des achats ultérieurs
• Attribuer le manquement au seul prestataire
• Maintenir des comptes anciens sans règle de conservation
• Attendre un contrôle pour déclencher les mesures correctives

La sécurité et la confidentialité des données bancaires

nL’article 34 de la loi du 6 janvier 1978 modifiée impose au responsable du traitement de prendre les précautions utiles pour empêcher l’accès de tiers non autorisés. La conservation en clair de numéros de cartes et de cryptogrammes dans des champs sans protection particulière, accessibles à des prestataires, révèle des moyens insuffisants. La présence d’une équipe de sécurité et de mesures correctives postérieures ne neutralise pas le manquement constaté.n

La responsabilité du responsable de traitement en cas de sous-traitance

nL’article 35, alinéa 3, de la loi du 6 janvier 1978 modifiée prévoit que le recours à un sous-traitant ne décharge pas le responsable de traitement de son obligation de veiller au respect des mesures de sécurité et de confidentialité. Le non-respect des instructions par un prestataire ne réduit donc ni la gravité du manquement ni la responsabilité de l’organisme.n

La durée de conservation des données bancaires et des comptes

nL’article 6-5 de la loi du 6 janvier 1978 modifiée impose une conservation n’excédant pas la durée nécessaire aux finalités du traitement. Les cryptogrammes ne peuvent être conservés au-delà du temps strictement nécessaire à la transaction. Les comptes clients et prospects doivent être soumis à des règles effectives d’archivage ou de purge ; leur absence caractérise le manquement.

Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 alinéa 3 de la loi n° 78-17 du 6 janvier 1978, Article 6-5 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978