Protection des données personnelles : sécurité, consentement et droit de suppression sanctionnés par la CNIL

La CNIL retient plusieurs manquements à la loi du 6 janvier 1978 modifiée. L’absence de cloisonnement du réseau, la possibilité d’accéder aux espaces personnels d’autres annonceurs et la conservation de coordonnées bancaires dans des fichiers intermédiaires caractérisent une atteinte à l’obligation de sécurité et de confidentialité prévue par l’article 34.

L’absence de durée définie de conservation méconnaît le 5° de l’article 6. La prospection par SMS ou courrier électronique sans consentement préalable contrevient à l’article L.34-5 du Code des postes et des communications électroniques. Le formulaire d’inscription ne satisfaisait pas aux exigences d’information de l’article 32.

La société n’avait pas davantage organisé efficacement l’exercice du droit de suppression prévu par les articles 39 et 40, les coordonnées bancaires d’un client demeurant présentes dans certaines bases. Les mesures correctives présentées à l’audience, notamment les purges automatisées, la correction de la faille et la charte d’information, ne suppriment pas rétroactivement les manquements constatés. Sur le fondement de l’article 45 de la loi du 6 janvier 1978, la CNIL prononce un avertissement et ordonne la publication de la décision.

⬇️Télécharger la décision version officielle

Le contrôle d’un site d’annonces immobilières a révélé la conservation de données bancaires, des accès insuffisamment sécurisés, une faille permettant de modifier les annonces d’autrui et l’absence de procédure efficace de suppression. La société utilisait également des fichiers commerciaux sans consentement préalable et informait incomplètement les personnes. La CNIL a adressé un avertissement et publié sa décision.

La société X exploitait un site mettant en relation des vendeurs et des acheteurs de biens immobiliers. Les annonceurs devaient transmettre des données d’identification, de contact et, en cas de paiement en ligne, des coordonnées bancaires.

La CNIL a été saisie après la sollicitation d’un annonceur par des agences immobilières, puis à la suite de plaintes concernant l’accès indu aux données d’autres clients et l’absence de suppression de coordonnées bancaires. Une mission de contrôle a révélé des fichiers intermédiaires conservant des données bancaires, l’absence de politique générale de conservation, un réseau insuffisamment cloisonné et une faille permettant d’accéder, modifier ou supprimer les annonces d’autres clients.

Le contrôle a également établi l’utilisation de fichiers achetés pour des campagnes commerciales sans consentement préalable, une information incomplète des personnes et l’absence de procédure efficace de suppression. La société a présenté des mesures correctives, jugées tardives ou incomplètes. La CNIL a prononcé un avertissement et décidé la publication de sa décision.

• Constater une faille permettant des accès non autorisés aux données
• Vérifier l’absence de cloisonnement et de mesures techniques suffisantes
• Établir l’absence de durée définie de conservation
• Constater la prospection électronique sans consentement préalable
• Relever une information incomplète des personnes concernées
• Vérifier l’absence de procédure efficace de suppression
• Écarter l’effet rétroactif des mesures correctives tardives

• Constat de fichiers intermédiaires et sauvegardes conservant des coordonnées bancaires
• Constat de l’absence de cloisonnement du réseau interne
• Démonstration de l’accès indu aux espaces personnels des annonceurs
• Présence persistante de coordonnées bancaires malgré une demande de suppression
• Formulaire d’inscription dépourvu des informations exigées
• Fichiers achetés utilisés pour des campagnes commerciales sans consentement établi

La société X fait l’objet d’un avertissement et de la publication de la décision. Les manquements constatés demeurent acquis malgré les corrections engagées après le contrôle, ce qui impose une mise en conformité technique et documentaire complète.

• Avertissement inscrit dans la décision de la CNIL
• Publication sur le site de la CNIL et Légifrance
• Correction des contrôles d’accès et cloisonnement des réseaux
• Suppression effective des données bancaires dans tous les fichiers
• Définition des durées de conservation applicables
• Recueil et traçabilité du consentement commercial

À faire

• Cloisonner les réseaux et limiter les profils d’accès
• Tester les contrôles d’accès aux espaces personnels
• Supprimer les données bancaires de toutes les sauvegardes
• Définir et documenter les durées de conservation
• Formaliser l’information, le consentement et les demandes de suppression

À éviter

• Conserver des données dans des fichiers intermédiaires inutiles
• Autoriser des accès par simple référence d’annonce
• Prospecter par SMS sans consentement préalable
• Utiliser un formulaire renvoyant à des articles erronés
• Présenter des mesures correctives après contrôle comme rétroactives

Les obligations de sécurité et de confidentialité des données

La CNIL retient l’article 34 de la loi du 6 janvier 1978 modifiée en raison de l’absence de cloisonnement du réseau, d’une faille d’accès aux espaces personnels et de la conservation de coordonnées bancaires dans plusieurs fichiers. Les mesures correctives présentées après le contrôle ne suppriment pas rétroactivement les manquements constatés.

La durée de conservation des données personnelles

Le 5° de l’article 6 de la loi du 6 janvier 1978 impose qu’une durée de conservation soit définie. La société n’avait établi aucune politique générale. La référence ultérieure à la norme simplifiée n° 48 et la mise en place annoncée de purges ne remédient pas rétroactivement à cette carence.

Le consentement aux prospections commerciales électroniques

L’article L.34-5 du Code des postes et des communications électroniques exigeait le consentement préalable pour les campagnes par SMS ou courrier électronique. La société exploitait des fichiers d’annonces contenant les coordonnées d’annonceurs sans établir ce consentement. La cessation ultérieure des campagnes n’efface pas le manquement constaté.

Article 6 de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 34 de la loi n° 78-17 du 6 janvier 1978, Article 39 de la loi n° 78-17 du 6 janvier 1978, Article 40 de la loi n° 78-17 du 6 janvier 1978, Article 45 de la loi n° 78-17 du 6 janvier 1978, Article L.34-5 du Code des postes et des communications électroniques