Sécurité des fichiers clients : l’avertissement de la CNIL pour défaut de contrôle des accès

En application de l’article 21, alinéa 4, de la loi n° 78-17 du 6 janvier 1978, la CNIL peut adresser un avertissement lorsqu’un traitement révèle des manquements justifiant des mesures correctrices.

La société d’assurance n’a pas été considérée comme ayant volontairement enregistré une information relative à la vie sexuelle. Toutefois, sa responsabilité a été retenue en raison de carences graves dans la sécurité du système informatique. Les salariés du courtier pouvaient alimenter et consulter le fichier sans mot de passe individuel, tandis que l’absence de synchronisation entre les fichiers avait permis le maintien de la mention supprimée du fichier du courtier.

La CNIL a ainsi caractérisé une imprudence ou une négligence ayant favorisé la divulgation d’une information préjudiciable à la réputation ou à la considération de la personne. L’avertissement est assorti de mesures appropriées, dont la Commission devait être informée. La décision met en évidence que l’absence d’intention malveillante de l’entreprise ne neutralise pas les conséquences de mesures de sécurité insuffisantes ni d’une gestion incohérente des mises à jour.

⬇️Télécharger la décision version officielle

La CNIL a constaté de graves carences de sécurité dans le fichier clientèle d’une société d’assurance, notamment l’absence de mots de passe individuels chez le courtier. Une mention relative à l’orientation sexuelle était restée dans le fichier de l’assureur malgré sa suppression ailleurs. Un avertissement a été adressé à la société.

La CNIL a été saisie d’une réclamation concernant l’inscription de la mention « homosexuel » dans le fichier clientèle d’une société d’assurance. La mention avait été ajoutée dans la zone adresse lors du renouvellement d’une police d’assurance habitation, à l’initiative d’un agent du courtier d’assurances ayant accès aux terminaux de la société d’assurance.

Le contrôle n’a pas permis d’identifier avec certitude l’auteur de l’inscription. Il a toutefois révélé que les salariés du courtier ne disposaient pas, sauf les comptables, de mots de passe individuels pour accéder au fichier. La mention, supprimée du fichier du courtier, était restée dans celui de la société d’assurance jusqu’à la réclamation, avant d’être effacée du fichier de gestion puis de l’archive.

La CNIL a retenu des carences graves de sécurité et l’absence de mise à jour coordonnée des fichiers, puis a adressé un avertissement à la société d’assurance.

• Accès au fichier sans attribution de mots de passe individuels
• Contrôle insuffisant des accès aux données
• Absence de mise à jour coordonnée des fichiers
• Maintien d’une information préjudiciable dans le fichier
• Imprudence ou négligence de la société d’assurance
• Risque de renouvellement d’agissements similaires

• Compte rendu de la mission de contrôle sur place
• Constat de l’accès des salariés du courtier aux terminaux
• Absence de mots de passe individuels, sauf pour les comptables
• Comparaison des fichiers du courtier et de la société d’assurance
• Maintien de la mention dans le fichier et l’archive

La société d’assurance reçoit un avertissement et doit mettre fin aux carences relevées. Le courtier et ses agents sont concernés par le renforcement des accès et la coordination des fichiers, tandis que la personne concernée bénéficie de l’effacement de la mention litigieuse.

• Attribuer un mot de passe individuel à chaque agent autorisé
• Restreindre et contrôler les accès au fichier d’assurance
• Synchroniser les mises à jour entre les applications
• Supprimer les mentions litigieuses des fichiers et archives
• Informer la CNIL des mesures appropriées adoptées

À faire

• Attribuer des identifiants individuels aux utilisateurs autorisés
• Documenter les habilitations et contrôler les accès
• Mettre en place une synchronisation des fichiers
• Vérifier la suppression dans les archives
• Informer la CNIL des mesures correctrices

À éviter

• Partager des identifiants entre utilisateurs
• Autoriser des accès sans traçabilité individuelle
• Maintenir des données supprimées dans une application
• Négliger la cohérence entre fichiers liés
• Attendre une réclamation pour corriger les données

Les mesures individuelles de contrôle des accès

L’absence de mots de passe individuels pour les agents du courtier a caractérisé une carence grave de sécurité. Cette insuffisance a favorisé l’inscription et la divulgation d’une information préjudiciable, même sans intention de la société d’assurance.

La mise à jour coordonnée des fichiers clients

La suppression d’une mention dans le fichier du courtier n’avait entraîné aucune actualisation du fichier de la société d’assurance. Cette incohérence applicative a permis le maintien de l’information jusqu’à la réclamation et a contribué au manquement retenu.

L’avertissement prévu par l’article 21 de la loi

La CNIL a adressé un avertissement sur le fondement de l’article 21, alinéa 4, de la loi n° 78-17 du 6 janvier 1978. L’absence d’enregistrement volontaire n’excluait pas l’imprudence ou la négligence résultant de mesures de sécurité insuffisantes.