Sécurité des données personnelles : responsabilité du responsable de traitement en cas d’accès non autorisé

La formation restreinte retient un manquement à l’obligation de sécurité prévue par l’article 34 de la loi n° 78-17 du 6 janvier 1978. Le responsable de traitement doit prendre toutes les précautions utiles au regard de la nature des données et des risques du traitement, notamment pour empêcher l’accès de tiers non autorisés. La constatation d’un accès effectif à des données bancaires confidentielles suffit à caractériser l’insuffisance des mesures de sécurité.

La responsabilité n’est pas écartée par une éventuelle malveillance interne, par l’existence de procédures générales de sécurité, par le paramétrage par défaut de l’éditeur ou par l’absence d’alerte remontée à la direction. Il appartenait au responsable de traitement d’adapter le système à ses propres populations d’utilisateurs et d’assurer l’étanchéité entre activités incompatibles.

Les contrôles n’ont pas été annulés. Selon l’article 61 du décret n° 2005-1309, l’information du procureur n’a pas à préciser l’identité de l’organisme contrôlé. Un éventuel retard n’affecterait le contrôle qu’en présence d’un préjudice, absent en l’espèce. Les procès-verbaux remis et signés sur place ne nécessitaient pas une notification ultérieure au titre de l’article 65 du même décret.

Les mesures correctrices postérieures ne suppriment pas le manquement passé, mais peuvent être prises en considération. La formation restreinte a prononcé un avertissement et rendu sa décision publique conformément aux articles 45 et suivants de la loi n° 78-17.

⬇️Télécharger la décision version officielle

Une erreur de configuration d’un système de messagerie avait ouvert, pendant près de deux ans, l’accès à des dizaines de milliers d’utilisateurs à de nombreux documents confidentiels, dont des informations bancaires et financières. Malgré les mesures correctrices prises après la révélation de l’incident, la CNIL a retenu un manquement à la sécurité et prononcé un avertissement public.

La société X, responsable de l’exploitation du système d’information mutualisé du groupe Y, gérait une messagerie utilisée par des salariés de secteurs bancaires, journalistiques et autres. Une erreur de configuration des dossiers publics attribuait automatiquement des droits d’accès à l’ensemble des utilisateurs, sans restriction mise en œuvre par les propriétaires des dossiers.

Pendant près de deux ans, des dizaines de milliers d’utilisateurs ont ainsi pu accéder à de nombreux documents, dont une majorité comportait des informations financières et bancaires confidentielles. Des journalistes ont découvert certains de ces contenus, qui ont ensuite été divulgués dans la presse.

La CNIL a effectué deux contrôles sur place, recueilli les dossiers concernés et un audit, puis engagé une procédure contradictoire. La société contestait notamment la régularité des contrôles, invoquait une malveillance interne, la sensibilité variable des données et l’existence de mesures générales de sécurité. Après la révélation publique, elle a supprimé les droits d’accès globaux, instauré des contrôles et une procédure interne, informé la CNIL et déposé plainte. La formation restreinte a néanmoins prononcé un avertissement public.

• Qualité de responsable du traitement des données concernées
• Présence de données bancaires ou confidentielles dans les dossiers accessibles
• Accès effectif ou potentiellement ouvert à des tiers non autorisés
• Défaillance de configuration imputable au responsable du traitement
• Absence d’étanchéité entre populations professionnelles distinctes
• Insuffisance des mesures concrètes malgré les politiques générales de sécurité

• Procès-verbaux des contrôles réalisés dans les locaux concernés
• Copie des dossiers publics accessibles avant la correction
• Rapport d’audit communiqué par le groupe
• Constat de l’attribution automatique des droits d’auteur
• Analyse de 1 686 489 documents accessibles
• Visibilité des dossiers dans le volet de navigation de la messagerie

Le responsable du traitement demeure sanctionnable malgré la mise en œuvre rapide de mesures correctrices et le dépôt d’une plainte contre l’auteur des divulgations. Les personnes concernées par l’exploitation du système doivent cloisonner les habilitations et documenter les contrôles de sécurité.

• Avertissement prononcé contre le responsable du traitement
• Décision rendue publique en raison de la gravité des faits
• Suppression des droits d’accès globaux et contrôle des habilitations
• Mise en place d’une procédure interne de gestion des dossiers
• Maintien de la responsabilité pour les manquements antérieurs

À faire

• Identifier les populations autorisées par traitement
• Retirer les droits d’accès attribués par défaut
• Documenter les règles de cloisonnement des systèmes
• Contrôler régulièrement les habilitations effectives
• Conserver les audits et preuves de correction

À éviter

• Partager un annuaire entre activités incompatibles
• Se fier aux seuls paramètres par défaut
• Limiter la sécurité à une charte générale
• Attendre une alerte avant de contrôler les accès
• Considérer les corrections comme effaçant le manquement

Les conditions de l’obligation de sécurité des données

La formation restreinte applique l’article 34 de la loi du 6 janvier 1978. Le responsable de traitement doit prendre les précautions utiles au regard de la nature des données et des risques afin d’empêcher l’accès de tiers non autorisés. L’accès effectif à des informations bancaires confidentielles, rendu possible par une configuration insuffisamment cloisonnée, caractérise le manquement.

La responsabilité du responsable de traitement

Une éventuelle malveillance interne, les procédures générales de sécurité, le paramétrage par défaut de l’éditeur ou l’absence de remontée d’une alerte ne déchargent pas le responsable de traitement. Il lui appartient d’adapter le logiciel à ses utilisateurs et de sécuriser les droits d’accès entre populations professionnelles distinctes.

La régularité des contrôles de la CNIL

Au regard des articles 44 de la loi du 6 janvier 1978 et 61 du décret n° 2005-1309, l’information du procureur pouvait ne pas mentionner l’identité de l’organisme contrôlé. Un éventuel retard, sans préjudice, n’affectait pas le contrôle. L’article 65 ne justifiait pas une notification ultérieure lorsque les procès-verbaux avaient été signés et remis sur place.

Convention n° 108 du Conseil de l’Europe du 28 janvier 1981, Directive n° 95/46/CE du 24 octobre 1995, Loi n° 78-17 du 6 janvier 1978, Article 2 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 44 de la loi n° 78-17 du 6 janvier 1978, Articles 45 et 46 de la loi n° 78-17 du 6 janvier 1978, Article 61 du décret n° 2005-1309 du 20 octobre 2005, Article 65 du décret n° 2005-1309 du 20 octobre 2005, Article 74 alinéa 2 du décret n° 2005-1309 du 20 octobre 2005