Exactitude des données personnelles : la CNIL sanctionne les erreurs d’identification automatisées

L’article 6-4° de la loi n° 78-17 du 6 janvier 1978 impose au responsable de traitement de garantir l’exactitude des données personnelles, en prenant les mesures nécessaires pour rectifier ou effacer les données inexactes. La formation restreinte qualifie cette obligation d’obligation de résultat, et non de simple obligation de moyens. L’article 40, qui consacre le droit à la rectification ou à l’effacement, en constitue le corollaire.

Le fournisseur d’accès avait affecté à plusieurs abonnés une adresse MAC composée de zéros et attribuait par défaut les recherches infructueuses à l’un d’eux. Ce paramétrage avait entraîné la transmission répétée d’une identité erronée à la Hadopi et aux services d’enquête. La correction ultérieure du dysfonctionnement n’a pas supprimé le manquement, celui-ci ayant persisté pendant un an et neuf mois et n’ayant été détecté qu’après l’intervention insistante d’un service de police.

L’obligation de conservation prévue par l’article L. 34-1 du code des postes et des communications électroniques ne dispense pas le fournisseur de vérifier la fiabilité de l’outil utilisé pour répondre aux demandes des autorités. Le volume des sollicitations et l’automatisation du traitement ne justifient pas l’absence de contrôles élémentaires.

En application de l’article 45 de la loi n° 78-17, la CNIL a prononcé un avertissement et décidé sa publicité, compte tenu de la répétition des erreurs et de leurs conséquences préjudiciables pour l’abonné identifié à tort.

⬇️Télécharger la décision version officielle

Une application associait les adresses IP aux adresses MAC des abonnés. En l’absence de correspondance, elle renvoyait une adresse composée de zéros, attribuée à plusieurs personnes. Un abonné a ainsi été identifié à tort à de nombreuses reprises par la Hadopi et des services d’enquête. Après correction du dysfonctionnement, la CNIL a retenu un défaut d’exactitude des données et prononcé un avertissement public.

Une société spécialisée dans les télécommunications par fibre optique traitait les demandes d’identification d’adresses IP adressées par la Hadopi, la police et la gendarmerie. Elle utilisait une application associant les adresses IP aux adresses MAC des équipements des abonnés.

Lorsque l’application ne trouvait aucune correspondance, elle renvoyait par défaut une adresse MAC composée de zéros. Cette valeur ayant été attribuée à plusieurs abonnés, un abonné a été identifié à tort à 1 531 reprises par la Hadopi et à sept reprises par des services d’enquête. Il a été mis en cause dans une procédure de réponse graduée et dans plusieurs enquêtes pénales.

La société a corrigé le dysfonctionnement après son signalement. La CNIL, saisie d’une plainte, a contrôlé le traitement, puis engagé une procédure de sanction pour défaut d’exactitude des données personnelles. Elle a prononcé un avertissement public.

• Traiter des données personnelles identifiant les abonnés
• Garantir l’exactitude des données transmises aux autorités
• Éviter les associations informatiques par défaut dépourvues de correspondance fiable
• Mettre en œuvre des vérifications élémentaires de l’application
• Rectifier ou effacer rapidement les données inexactes
• Prévenir la répétition des transmissions erronées

• Procès-verbal de contrôle sur place de la CNIL
• Pièces et informations complémentaires communiquées par la société
• Constat du renvoi par défaut vers l’adresse MAC composée de zéros
• Historique des 1 531 identifications erronées de l’abonné
• Reconnaissance du dysfonctionnement et de sa correction ultérieure

Le fournisseur d’accès est sanctionné pour avoir transmis des données personnelles inexactes aux autorités, malgré la correction ultérieure du dysfonctionnement. L’abonné a subi des mises en cause répétées et un préjudice lié aux erreurs d’identification.n

• Avertissement prononcé contre le fournisseur d’accès
• Publication de la sanction
• Renforcement des contrôles des traitements automatisés
• Vérification des correspondances entre adresses IP et MAC
• Prévention des transmissions erronées aux autorités

À faire

• Tester régulièrement les règles d’association IP-MAC
• Bloquer toute valeur MAC par défaut ambiguë
• Générer une alerte en cas de correspondance introuvable
• Tracer les contrôles et corrections effectués
• Rectifier rapidement les identifications erronées transmises

À éviter

• Attribuer une adresse IP sans correspondance certaine
• Enregistrer une même adresse MAC pour plusieurs abonnés
• Transmettre automatiquement une identité non vérifiée
• Invoquer le volume des demandes pour supprimer les contrôles
• Attendre un signalement externe pour détecter l’anomalie

L’obligation d’exactitude des données personnelles

nL’article 6-4° de la loi n° 78-17 impose que les données soient exactes, complètes et, si nécessaire, mises à jour. Le responsable du traitement doit prendre les mesures utiles pour rectifier ou effacer les données inexactes. La transmission répétée d’une identité erronée aux autorités caractérise le manquement.n

La qualification d’une obligation de résultat

nLa formation restreinte considère que l’article 6-4° impose une obligation de résultat. La correction du dysfonctionnement après sa révélation ne suffit donc pas lorsque l’anomalie a persisté durablement. Le volume des demandes et l’automatisation ne dispensent pas le responsable de traitement des vérifications élémentaires.n

Les conditions de l’avertissement public

nSur le fondement de l’article 45 de la loi n° 78-17, un avertissement public est justifié par la répétition des erreurs, la gravité des conséquences pour l’abonné et la nécessité de renforcer la vigilance des fournisseurs d’accès transmettant des données aux autorités.

Article 6-4° de la loi n° 78-17 du 6 janvier 1978, Article 40 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978, Article L. 34-1 du code des postes et des communications électroniques