Sécurité des données personnelles et coopération avec la CNIL : avertissement public

La formation restreinte retient des manquements aux articles 34 et 21 de la loi du 6 janvier 1978 modifiée. L’article 34 imposait à la société de prendre toutes précautions utiles pour préserver la sécurité des données, notamment au regard de leur sensibilité. Le maintien de mots de passe en clair, l’absence de sécurisation de certains formulaires et la protection tardive des flux caractérisaient un défaut prolongé de sécurité, malgré plusieurs contrôles et demandes correctives.

L’article 21 oblige les responsables de traitements à ne pas s’opposer à l’action de la CNIL et à faciliter sa mission. La société a manqué à cette obligation en ne mettant pas en œuvre, dans les délais annoncés, plusieurs mesures correctives et en tardant à fournir une information complète.

Le manquement à l’article 35 n’est pas retenu : les contrats de sous-traitance en vigueur comportaient finalement des clauses spécifiques relatives à la sécurité et à la confidentialité des données. La mise en conformité postérieure aux contrôles n’efface pas les manquements antérieurs.

Sur le fondement de l’article 45, la CNIL prononce un avertissement et décide sa publication, compte tenu du nombre de personnes concernées, de la sensibilité des données et des difficultés rencontrées pour obtenir une mise en conformité effective.

⬇️Télécharger la décision version officielle

Un service de suivi de régime collectait notamment des données relatives au poids, aux habitudes alimentaires et aux pratiques sportives. La CNIL a constaté des défauts d’information, une sécurité insuffisante des accès et transmissions, ainsi que la conservation de mots de passe en clair. Elle a également relevé une coopération tardive, mais écarté le manquement relatif aux sous-traitants. Des manquements à la sécurité et à la coopération ont été retenus.

La société X exploitait un service de suivi de régime en ligne proposant un programme personnalisé, une messagerie avec une diététicienne, un forum, un chat et des vidéos d’exercice. Elle collectait notamment des informations relatives au poids, aux habitudes alimentaires, à la composition du foyer et aux pratiques sportives.

La CNIL a réalisé plusieurs contrôles entre 2011 et 2013. Elle a constaté l’absence de mentions d’information sur plusieurs formulaires, une sécurisation insuffisante des accès et des transmissions, ainsi que la conservation de mots de passe en clair. Elle a également relevé la mise en œuvre tardive de mesures correctives et l’absence initiale de clauses spécifiques de confidentialité dans certains contrats de sous-traitance.

La société a ensuite annoncé diverses mesures de mise en conformité. La formation restreinte a néanmoins retenu des manquements aux obligations de sécurité et de coopération avec la CNIL, tout en écartant celui relatif aux sous-traitants.

• Données personnelles présentant une sensibilité particulière
• Mesures de sécurité insuffisantes ou mises en œuvre tardivement
• Conservation des mots de passe en clair
• Absence de sécurisation de certains flux et formulaires
• Demandes correctives répétées de la CNIL
• Réponses tardives ou mesures annoncées non exécutées

• Constatations des contrôles sur place de 2011 et 2013
• Formulaires dépourvus de mentions d’information obligatoires
• Base de données conservant des mots de passe en clair
• Absence de protocole HTTPS sur certains formulaires
• Contrats et avenants de sous-traitance examinés
• Échanges écrits et observations adressés à la CNIL

La société est sanctionnée par un avertissement rendu public en raison de manquements prolongés malgré une mise en conformité finale. Les sous-traitants ne sont pas à l’origine d’un manquement retenu, les contrats ayant finalement intégré des garanties spécifiques.n

• Avertissement inscrit dans une décision rendue publique
• Publication sur les sites de la CNIL et de Légifrance
• Maintien de la responsabilité pour les défauts antérieurs
• Nécessité de sécuriser les mots de passe et les flux
• Formalisation des obligations de confidentialité des sous-traitants

À faire

• Insérer les mentions d’information sur chaque formulaire
• Chiffrer les mots de passe conservés en base
• Étendre HTTPS à tous les flux de données
• Documenter les mesures correctives et leur calendrier
• Intégrer des clauses de confidentialité aux contrats

À éviter

• Conserver des mots de passe en clair
• Laisser des formulaires transmettre des données sans chiffrement
• Annoncer des mesures sans vérifier leur déploiement
• Répondre tardivement ou partiellement aux demandes de la CNIL
• Négliger les données sensibles collectées auprès des utilisateurs

La sécurité des données personnelles collectées

nL’article 34 de la loi du 6 janvier 1978 impose au responsable du traitement de prendre les précautions utiles pour préserver la sécurité des données et empêcher l’accès de tiers non autorisés. La conservation de mots de passe en clair, l’absence de sécurisation de certains formulaires et la mise en place tardive du protocole HTTPS caractérisent le manquement, malgré la mise en conformité ultérieure.n

L’obligation de coopération avec la CNIL

nL’article 21 de la loi du 6 janvier 1978 impose de faciliter l’action de la Commission. Le défaut de mise en œuvre, pendant plusieurs années, de mesures annoncées lors des contrôles, ainsi que les réponses tardives et incomplètes, constituent un manquement, même sans volonté délibérée de tromper la Commission.n

Les critères de l’avertissement public

nSur le fondement de l’article 45 de la loi du 6 janvier 1978, la formation restreinte prononce un avertissement. La publicité est justifiée par le nombre de personnes concernées, la sensibilité des données traitées et les difficultés rencontrées pour obtenir une mise en conformité effective.

Article 11 de la loi n° 78-17 du 6 janvier 1978, Article 21 de la loi n° 78-17 du 6 janvier 1978, Article 32-I de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 35 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978