Sécurité des données personnelles et responsabilité du responsable de traitement en cas de défaillance d’un sous-traitant

La formation restreinte distingue l’obligation de notification d’une violation de données, prévue par l’article 34 bis de la loi du 6 janvier 1978, de l’obligation de sécurité et de confidentialité prévue par l’article 34. La première constitue une obligation de résultat, tandis que la seconde impose la mise en œuvre de moyens adaptés aux risques du traitement.

La notification d’une violation n’interdit pas à la CNIL de diligenter des contrôles sur le fondement de l’article 44 ni d’engager une procédure de sanction en application de l’article 45. La formation restreinte écarte ainsi l’atteinte au principe de non-auto-incrimination, la procédure étant fondée sur les constats des contrôles et non sur les seuls éléments de notification.

Le responsable du traitement demeure tenu d’assurer la sécurité des données, même lorsqu’il recourt à plusieurs prestataires. L’absence d’audit préalable d’une application spécifiquement développée, la transmission non sécurisée des fichiers et l’absence de clauses de sécurité imposées au prestataire secondaire caractérisent le manquement à l’article 34. La remédiation ultérieure est prise en compte, mais ne fait pas disparaître le manquement antérieur.

Un avertissement est prononcé sur le fondement de l’article 45 et rendu public, compte tenu de l’ampleur de l’exposition des données et des ressources dont disposait la société.

⬇️Télécharger la décision version officielle

Une faille affectant le serveur d’un prestataire a permis, par la modification d’une URL de désinscription, l’accès à des centaines de fichiers concernant environ 1,34 million de clients. La CNIL a relevé l’absence d’audit avant la mise en production, des transmissions non sécurisées et des clauses contractuelles insuffisantes. Malgré les mesures correctives, elle a retenu un manquement à la sécurité et prononcé un avertissement public.

Une société a notifié à la CNIL une violation de données personnelles concernant environ 1,34 million de clients. La faille résultait d’un dysfonctionnement du serveur d’un prestataire intervenant dans des campagnes de marketing direct. La modification d’une adresse URL depuis un lien de désinscription permettait d’accéder à plusieurs centaines de fichiers contenant notamment des noms, dates de naissance, adresses électroniques et numéros de téléphone.

Les contrôles réalisés auprès de la société, de son sous-traitant et d’un prestataire secondaire ont révélé l’absence d’audit de sécurité avant la mise en production d’une application adaptée, la transmission non sécurisée des fichiers clients et l’absence de clauses de sécurité et de confidentialité imposées au prestataire secondaire.

La CNIL a considéré que ces insuffisances avaient contribué à l’accès effectif d’un tiers non autorisé aux données. Malgré les mesures correctives prises ultérieurement, elle a retenu un manquement à l’obligation de sécurité et prononcé un avertissement public.

• Identifier la société comme responsable du traitement
• Apprécier la nature des données et l’ampleur du risque
• Vérifier l’existence d’un accès effectif par un tiers non autorisé
• Contrôler la réalisation préalable d’un audit de sécurité
• Évaluer la sécurisation des transmissions de données
• Vérifier la répercussion des obligations de sécurité et confidentialité
• Tenir compte des mesures correctives sans effacer le manquement constaté

• Procès-verbaux des contrôles réalisés auprès des intervenants
• Accès à 700 fichiers par modification d’une adresse URL
• Application adaptée mise en production sans audit de sécurité
• Courriels transmettant les fichiers sans mesure de sécurité
• Absence de clauses de sécurité imposées au prestataire secondaire

La société, responsable du traitement, reçoit un avertissement public malgré les mesures correctives engagées après la violation. Les prestataires intervenant dans le traitement doivent être encadrés par des exigences de sécurité et de confidentialité vérifiables.n

• Avertissement prononcé contre le responsable du traitement
• Publication de la décision sur le site de la CNIL et Légifrance
• Maintien de la responsabilité malgré la sous-traitance en chaîne
• Nécessité d’auditer les applications avant leur mise en production
• Sécurisation contractuelle et technique des échanges de fichiers

À faire

• Auditer toute application avant sa mise en production
• Chiffrer les transmissions de fichiers clients
• Imposer des clauses de sécurité aux sous-traitants
• Cartographier tous les prestataires et leurs accès
• Documenter les mesures correctives après une violation

À éviter

• Transmettre des fichiers clients par courriel non sécurisé
• Déployer une application sans contrôle de sécurité préalable
• Ignorer l’intervention d’un prestataire secondaire
• Se décharger de la responsabilité sur la chaîne de sous-traitance
• Minimiser l’exposition de données identifiantes à grande échelle

La distinction entre notification et sécurité des données

nL’article 34 bis de la loi du 6 janvier 1978 impose la notification des violations de données, tandis que l’article 34 impose au responsable du traitement de prendre les précautions utiles pour garantir leur sécurité et leur confidentialité. Ces obligations sont distinctes : la première est une obligation de résultat, la seconde une obligation de moyens.n

La responsabilité du responsable de traitement envers les sous-traitants

nLe responsable du traitement ne peut minimiser sa responsabilité en invoquant une chaîne de sous-traitance. Il doit encadrer les intervenants participant au traitement, notamment par des mesures de sécurité et de confidentialité adaptées. L’absence d’audit préalable, la transmission non sécurisée des fichiers et l’absence de clauses imposées au prestataire secondaire ont caractérisé le manquement.n

La régularité de la procédure de sanction de la CNIL

nSur le fondement de l’article 44 de la loi du 6 janvier 1978, la CNIL peut contrôler l’organisme ayant notifié une faille. Lorsque les contrôles révèlent un manquement distinct, une sanction peut être engagée en application de l’article 45. La procédure reposait ici sur les constats des contrôles, et non sur les seules informations communiquées lors de la notification.

Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 34 bis de la loi n° 78-17 du 6 janvier 1978, Article 44 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978