Sécurité des données personnelles et durée de conservation : les manquements sanctionnés par la CNIL

La formation restreinte retient un manquement à l’article 34 de la loi du 6 janvier 1978 modifiée, qui impose au responsable de traitement de prendre les précautions utiles pour assurer la sécurité des données et empêcher l’accès de tiers non autorisés. L’accessibilité libre, sur internet, de nombreuses fiches comportant des données personnelles, parfois sensibles, caractérise le défaut de sécurité. La responsabilité du responsable de traitement demeure engagée lorsque la faille résulte de la conception d’une application sous-traitée. Les mesures correctrices prises après le contrôle peuvent limiter les effets du manquement, sans l’effacer.

La formation restreinte constate également la violation de l’article 6-5° de la même loi. La conservation de fiches remontant à 2007 n’était pas justifiée par la finalité du traitement, principalement liée à la livraison de biens. La mise en place ultérieure d’une durée glissante d’un mois ne régularise pas la période antérieure.

Compte tenu du nombre de personnes concernées et de la nature des données accessibles, un avertissement prévu par l’article 45 de la loi du 6 janvier 1978 est prononcé et rendu public, sans anonymisation du nom commercial.

⬇️Télécharger la décision version officielle

Des centaines de milliers de fiches de livraison étaient indexées par un moteur de recherche et directement accessibles en ligne. Elles contenaient des identités, coordonnées, instructions de livraison et parfois des informations sensibles relatives à la santé ou à la sécurité des logements. Après désindexation et limitation de conservation, la CNIL a retenu des manquements à la sécurité et à la durée de conservation et prononcé un avertissement public.

La société X, active dans le transport, la logistique et le fret, exploitait une application contenant des fiches de clients relatives à des livraisons. Lors d’un contrôle de la CNIL, plusieurs centaines de milliers de fiches ont été trouvées indexées par un moteur de recherche et directement accessibles sur internet.

Ces fiches comportaient notamment des identités, adresses, coordonnées téléphoniques et électroniques, ainsi que des instructions de livraison. Certaines révélaient des informations relatives à la santé ou à la sécurisation des logements. Les données les plus anciennes remontaient à 2007.

Après le contrôle, la société a supprimé l’accès aux fiches anciennes, désindexé les données et prévu une conservation limitée à un mois. La CNIL a néanmoins retenu des manquements relatifs à la sécurité des données et à leur durée de conservation, puis a prononcé un avertissement rendu public.

• Accès libre de données personnelles à des tiers non autorisés
• Défaut de conception imputable au responsable du traitement
• Absence de vérification globale après connaissance d’une faille
• Conservation des données au-delà de la durée nécessaire
• Absence de politique antérieure de conservation proportionnée
• Nombre élevé de personnes et nature sensible des données pour la publicité

• Procès-verbal de contrôle contradictoire
• Indexation internet de 684 778 fiches clients
• Consultation directe sans manipulation technique particulière
• Fiches comportant identités, coordonnées et instructions de livraison
• Fiches les plus anciennes datées de 2007
• Déclarations consignées au procès-verbal de contrôle

La société supporte un avertissement rendu public en raison de l’exposition massive de données personnelles et de leur conservation excessive. Les mesures de désindexation, de purge et de limitation à un mois sont prises en compte pour l’avenir, sans effacer les manquements constatés.

• Avertissement prononcé contre le responsable du traitement
• Publication sur les sites de la CNIL et de Légifrance
• Absence d’anonymisation du nom commercial
• Désindexation et suppression des fiches anciennes
• Limitation de la conservation à un mois
• Vérification complète de la sécurité des applications

À faire

• Auditer l’ensemble des applications traitant des données personnelles
• Bloquer les accès publics et contrôler l’indexation des fichiers
• Documenter les contrôles de sécurité et leurs résultats
• Définir une durée de conservation proportionnée aux finalités
• Tracer les purges, désindexations et mesures correctrices

À éviter

• Laisser des fiches personnelles accessibles sans authentification
• Se limiter à corriger la faille déjà signalée
• Reporter la responsabilité sur le sous-traitant technique
• Conserver des données anciennes sans justification documentée
• Compter uniquement sur des mesures prises après contrôle

La sécurité des données personnelles au titre de l’article 34

L’article 34 de la loi du 6 janvier 1978 impose au responsable de traitement de prendre les précautions utiles pour empêcher l’accès de tiers non autorisés. L’indexation et l’accès libre sur internet à de nombreuses fiches, dont certaines révélaient des informations intimes, caractérisent le manquement. Le défaut de conception de l’application n’exonère pas la société, responsable du traitement. Les mesures correctrices postérieures au contrôle ne suppriment pas le manquement antérieur.

La durée nécessaire de conservation des données

L’article 6-5° de la loi du 6 janvier 1978 exige une conservation n’excédant pas la durée nécessaire aux finalités du traitement. La présence de fiches datant de 2007 n’était pas justifiée par l’activité de livraison. La purge des données et la limitation ultérieure à un mois ont été prises en compte pour l’avenir, mais ne remédiaient pas à l’absence antérieure de politique de conservation proportionnée.

La sanction et la publicité de l’avertissement

Sur le fondement de l’article 45 de la loi du 6 janvier 1978, la formation restreinte a prononcé un avertissement. La publicité de la décision, sans anonymisation du nom commercial, est justifiée par le nombre de personnes concernées et la nature des données rendues accessibles sans restriction.

Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 6-5° de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article 46 de la loi n° 78-17 du 6 janvier 1978