AgentPublic/cnil huggingface dataset:
De même, l'article 35 de la loi du 6 janvier 1978 modifiée prévoit que les sous-traitants et les personnes agissant sous l'autorité du responsable du traitement ou du sous-traitant doivent présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l'article 34, ce qui ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures.
A cet égard, il ressort des échanges que la CNIL a avec les responsables de traitements dans le cadre de ses missions de conseil et de contrôle, tant a priori qu'a posteriori, que le moyen d'authentification actuellement le plus répandu dans le cadre du contrôle d'accès à une ressource numérique est celui associant un identifiant à un mot de passe (secret).
Toutefois, la commission a toujours considéré que d'autres moyens offrent davantage de sécurité, comme par exemple l'authentification à double facteur ou les certificats électroniques.
En outre, la multiplication des attaques informatiques, qui a entraîné la compromission de bases de données entières contenant notamment les mots de passe associés aux comptes des personnes concernées, a pour conséquence l'amélioration des connaissances des attaquants en matière de mots de passe.
Enfin, le fait que les utilisateurs emploient un même mot de passe pour se connecter à différents comptes en ligne renforce l'obligation pour les responsables de traitement de mettre en œuvre toutes mesures permettant d'assurer la sécurité des données à caractère personnel.
Dans ce contexte, et dans l'objectif d'apporter une plus grande confiance dans les services du numérique, il apparaît nécessaire que la commission définisse les modalités techniques de cette méthode d'authentification, à même de garantir un niveau de sécurité adapté, et édicte des recommandations relatives aux mesures à mettre en œuvre, ainsi que les règles à respecter, quant à son utilisation.
A cet effet, la commission a échangé tant avec ses homologues européens qu'avec des institutions et professionnels en charge de sécurité de l'information, afin de bâtir un référentiel technique apportant un niveau de sécurité minimal, cohérent avec les bonnes pratiques de sécurité et concrètement applicable.
Compte tenu de ces observations préalables, la commission émet la recommandation suivante, qui vient préciser et appliquer les dispositions de la loi du 6 janvier 1978 modifiée, en particulier ses articles 34 et 35.
Afin de proposer aux professionnels des lignes directrices en matière de gestion des mots de passe, la CNIL adopte cette recommandation. Celle-ci vise à interpréter les dispositions législatives précitées et à éclairer les acteurs sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions dans l'état de l'art.
I. - Sur le champ d'application de la recommandation
La présente recommandation concerne l'ensemble des traitements de données à caractère personnel mis en œuvre par des personnes publiques ou privées ayant recours à l'authentification par mot de passe, à l'exception de ceux pour lesquels des dispositions législatives ou réglementaires spécifiques fixent des prescriptions techniques particulières.
La recommandation fixe des modalités techniques minimales relatives à une authentification basée sur des mots de passe. En particulier, elle précise les modalités relatives à la création du mot de passe et à la gestion du compte associé, à l'authentification, à la conservation, au changement et au renouvellement du mot de passe, et à la notification de violations de données à la personne.
Les risques spécifiques qu'un traitement de données à caractère personnel peut faire peser sur la vie privée des personnes concernées peuvent exiger des mesures plus rigoureuses pour préserver la sécurité des données, telles celles concernant la gestion des mots de passe des administrateurs informatiques ou le traitement de données sensibles.
II. - Sur les modalités techniques
1. Création du mot de passe et blocage de compte
S'agissant des modalités de création d'un mot de passe requis pour l'authentification à un compte, la commission considère que la taille minimale et la complexité de ce mot de passe doivent être imposées par le responsable de traitement. Elle recommande en outre que la personne concernée par le traitement en soit préalablement informée par le responsable de traitement, ainsi que de la taille maximale du mot de passe supportée par le traitement.
Quatre cas sont possibles. Le premier impose des exigences fortes en termes de taille et de complexité du mot de passe. Pour les suivants, ces exigences sont moins fortes, du fait de l'existence de mesures compensatrices visant à assurer un niveau de sécurité équivalent.
Dans tous les cas, la commission estime que le mot de passe ne doit jamais être communiqué à l'utilisateur en clair, notamment par courrier électronique.
Cas n° 1. - Mot de passe seul
Si l'authentification repose uniquement sur un identifiant et un mot de passe, la commission considère que :
- la taille du mot de passe doit être au minimum de 12 caractères ; et
- le mot de passe doit comprendre des majuscules, des minuscules, des chiffres et des caractères spéciaux.
La robustesse de cette authentification repose exclusivement sur la qualité intrinsèque du mot de passe de l'utilisateur. Aussi, la commission estime que le responsable de traitement se doit d'alerter l'utilisateur à ce sujet et, dans la mesure du possible, le conseiller dans la création de son mot de passe.
Cas n° 2. - Mot de passe et restriction d'accès au compte
Si l'authentification prévoit une restriction de l'accès au compte, la commission considère que :
- la taille du mot de passe doit être au minimum de 8 caractères ; et
- le mot de passe doit au minimum comporter 3 des 4 catégories de caractères (majuscules, minuscules, chiffres et caractères spéciaux) ; et
- l'authentification doit faire intervenir une restriction de l'accès au compte, qui doit prendre une ou plusieurs des formes suivantes :
- une temporisation d'accès au compte après plusieurs échecs, dont la durée augmente exponentiellement dans le temps ; la commission recommande que cette durée soit supérieure à 1 minute après 5 tentatives échouées, et permette de réaliser au maximum 25 tentatives par 24 heures ; et/ou
- un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (p. ex. : captcha ) ; et/ou
- un blocage du compte après un nombre d'authentifications échouées consécutives au plus égal à 10.
Cas n° 3. - Mot de passe et information complémentaire
Si l'authentification comprend une information complémentaire, la commission considère que :
- la taille du mot de passe doit être au minimum de 5 caractères ; et
- l'authentification doit faire intervenir une information complémentaire, qui peut prendre l'une des formes suivantes :
- une information communiquée en propre par le responsable de traitement ou la personne concernée. La commission recommande que cette information ait une taille d'au moins 7 caractères et ne soit connue que de la personne et du responsable de traitement. Si cette information correspond à l'identifiant du compte, il est recommandé que ce dernier soit propre au service (dédié exclusivement), fourni par le responsable de traitement, et uniquement connu de la personne et du responsable de traitement ; et/ou
- tout paramètre technique ayant caractère d'unicité sur le terminal informatique utilisé par la personne (adresse IP, adresse MAC, user agent, etc.) pour lequel la personne a préalablement validé qu'il s'agissait d'un terminal de confiance (p. ex. : terminal non public) et qu'il peut à tout moment révoquer ; et
- une restriction de l'accès au compte doit être mise en œuvre, pouvant prendre la forme d'une ou plusieurs des modalités suivantes :
- une temporisation d'accès au compte après plusieurs échecs, dont la durée augmente exponentiellement dans le temps ; la commission recommande que cette durée soit supérieure à 1 minute après 5 tentatives échouées, et permette de réaliser au maximum 25 tentatives par 24 heures ; et/ou
- un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (p. ex. : captcha ) ; et/ou
- un blocage du compte après un nombre d'authentifications échouées consécutives au plus égal à 5.
Cas n° 4. - Mot de passe et matériel détenu par la personne
Si l'authentification s'appuie sur un matériel détenu par la personne, la commission considère que :
- la taille du mot de passe doit être au minimum de 4 chiffres ; et
- l'authentification ne peut concerner qu'un dispositif matériel détenu en propre par la personne, à savoir uniquement les cartes SIM, cartes à puce et dispositifs contenant un certificat électronique déverrouillable par mot de passe (token) ; et
- un blocage du dispositif doit être mis en œuvre après un nombre d'authentifications échouées consécutives au plus égal à 3.
2. Modalités de l'authentification
S'agissant des modalités de l'authentification au compte, la commission considère que la fonction d'authentification doit être sûre (c'est-à-dire qu'elle utilise un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue).
Lorsque l'authentification n'a pas lieu en local, la commission recommande qu'une mesure de contrôle de l'identité du serveur d'authentification soit mise en œuvre au moyen d'un certificat d'authentification de serveur. De plus, il recommande que le canal de communication entre le serveur authentifié et le client soit chiffré à l'aide d'une fonction de chiffrement sûre (c'est-à-dire mettant en œuvre un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue). La commission recommande en outre que la sécurité des clés privées soit assurée.
3. Modalités de conservation
S'agissant des modalités de conservation, la commission considère que le mot de passe ne doit jamais être stocké en clair. Elle recommande qu'il soit transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé.
La commission estime de plus que le sel ou la clé doit être généré au moyen d'un générateur de nombres pseudo aléatoires cryptographiquement sûr (c'est-à-dire basé sur un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), et ne pas être stocké dans le même espace de stockage que l'élément de vérification du mot de passe.
4. Modalités du renouvellement du mot de passe et de la notification à la personne
La commission recommande que le renouvellement du mot de passe soit systématique en cas de compromission de celui-ci.
Dans tous les cas, elle estime que le mot de passe ne doit jamais être communiqué à l'utilisateur en clair, notamment par courrier électronique.
Renouvellement périodique du mot de passe
La commission recommande que le responsable de traitement veille à imposer un renouvellement du mot de passe selon une périodicité pertinente et raisonnable, qui dépend notamment de la complexité imposée du mot de passe, des données traitées et des risques auxquels il est exposé.
Elle recommande aussi que le responsable de traitement permette à la personne concernée de procéder elle-même au changement de son mot de passe. Dans ce cas, les règles afférentes à la création de mots de passe s'appliquent.
Renouvellement sur demande du mot de passe
A la demande de la personne concernée, par exemple en cas d'oubli, la commission recommande que le responsable de traitement mette en œuvre une procédure de renouvellement du mot de passe, conformément à ce qui suit :
- lorsque ce renouvellement nécessite l'intervention d'un administrateur, la commission estime que la procédure d'authentification doit imposer le changement du mot de passe attribué temporairement par l'administrateur à la première connexion de la personne ;
- lorsque ce renouvellement intervient de manière automatique :
- la commission considère que le mot de passe ne doit pas être transmis en clair à la personne ; il est recommandé que celle-ci soit redirigée vers une interface lui permettant de saisir un nouveau mot de passe ; la validité de la session de cette interface ne devrait pas excéder 24 heures, et ne pas permettre plus d'un seul renouvellement ; ou
- si le renouvellement fait intervenir un ou plusieurs éléments supplémentaires (numéro de téléphone, adresse postale, etc.) :
- la commission considère que ces éléments ne doivent pas être conservés dans le même espace de stockage que l'élément de vérification du mot de passe ; sinon, il est recommandé qu'ils soient conservés sous forme chiffrée à l'aide d'un algorithme public réputé fort, et que la sécurité de la clé de chiffrement soit assurée ; et
- afin de prévenir les tentatives d'usurpation s'appuyant sur le changement de ces éléments, la commission considère que la personne doit être immédiatement informée de leur changement.
Notification de violation à la personne concernée
La commission recommande que le responsable de traitement notifie la personne concernée quand une violation de son mot de passe ou de données liées au renouvellement (p. ex. : adresse électronique) a été détectée, dans un délai n'excédant pas 72 heures depuis la constatation de la violation. La commission estime que le responsable de traitement doit imposer dans ce cas le changement du mot de passe à la personne concernée lors de sa prochaine connexion, et recommande à la personne de veiller à changer ses mots de passe d'autres services dans l'hypothèse où elle aurait utilisé le même mot de passe pour ceux-ci.
III. - Dispositions transitoires et finales
La présente délibération sera publiée au Journal officiel de la République française.
 
La présidente,
I. Falque-Pierrotin
Délibération de la formation restreinte SAN - 2017-001 du 26 janvier 2017 prononçant un avertissement public à l’encontre de la société X
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, Mme Dominique CASTERA, M. Philippe GOSSELIN et M. Maurice RONAI, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2014-034C du 28 janvier 2014 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X;
Vu la décision de la Présidente de la Commission portant désignation d’un rapporteur, en date du 21 octobre 2016 ;
Vu le rapport de M. Jean-Luc VIVET, commissaire rapporteur, notifié à la société X le 8 novembre 2016 ;
Vu la demande de huis clos présentée par la société X le 28 novembre 2016 à laquelle il a été fait droit par courrier du 1er décembre 2016 ;
Vu les observations écrites de la société X reçues le 6 décembre 2016, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Ayant entendu, lors de la séance de la formation restreinte du 15 décembre 2016, 
M. Jean-Luc VIVET, commissaire, en son rapport ;
En qualité de représentants de la société X:
En qualité de conseil de la société : X
Mme Nacima BELKACEM, Commissaire du Gouvernement, n’ayant pas formulé d’observation ;
Les représentants de la société X ayant pris la parole en dernier ;
A adopté la décision suivante :
I- Faits et procédure
La société X (ci-après la société ) est une filiale bancaire européenne de X. Créée en 1989, elle est spécialisée dans la distribution de crédits. Elle dispose d’un Correspondant Informatique et Libertés depuis le 11 août 2016.
Le 16 octobre 2015, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie par une plaignante ayant souscrit un prêt à la consommation auprès de la société et dénonçant son inscription auprès de la Banque de France dans le cadre du Fichier national des Incidents de Remboursement des Crédits aux Particuliers, dit FICP (PL 15028539).
Après avoir interrogé la Banque de France sur cette inscription le 22 octobre 2015, les services de la Commission ont eu communication du relevé de situation de la plaignante dans le FICP. Il faisait état d’un incident recensé au titre d’un crédit renouvelable avec une date de référence au 3 octobre 2012.
Par courrier du 30 décembre 2015, les services de la Commission ont demandé à la société d’apporter des éléments d’informations quant à la situation litigieuse liée à l’inscription de la plaignante au FICP.
En réponse, la société a notamment indiqué par courrier en date du 25 février 2016 que :
l’inscription au FICP de la plaignante, le 12 mai 2012, faisait suite au non-paiement de deux échéances de crédit consécutives pour les mois de février et mars 2012 puis à l’envoi d’une lettre de préavis ;
à la suite du rejet le 06 juillet 2012 par la banque de la plaignante, d’un premier prélèvement de régularisation générant la levée de son inscription au FICP, cette dernière a été réinscrite au FICP le 21 août 2012 ;
une nouvelle inscription de la plaignante au FICP a été réalisée le 5 octobre 2012, à la suite du rejet par la banque de la plaignante d’un second prélèvement de régularisation effectué le 29 août 2012 et ayant également généré la levée de son inscription au FICP.
Dans ce même courrier, la société a également mentionné qu’ en 2012, les prélèvements de régularisation effectués sur les dossiers de crédit généraient la levée automatique de l’inscription au FICP de l’emprunteur défaillant et que cette anomalie a été corrigée fin 2012.
A la suite d’une nouvelle interrogation de la Banque de France le 30 mars 2016, il a été indiqué aux services de la Commission le 4 avril suivant que la plaignante faisait l’objet d’une inscription au FICP au titre d’un crédit renouvelable avec une date de référence au 13 mai 2012.
Afin de donner suite à la plainte et de constater les conséquences de l’anomalie technique sur les données des clients, une délégation de la CNIL a procédé à une mission de contrôle au sein des locaux de la société X le 9 août 2016 en application de la décision n° 2014-034C du 28 janvier 2014 de la Présidente de la Commission. Le procès-verbal n° 2014-034/3 du 9 août 2016 a été notifié à la société le 10 août 2016.
A la suite de ce contrôle, la société a fait parvenir des éléments complémentaires par courriers des 15 septembre et 10 octobre 2016, notamment sur la procédure dite de prélèvements de régularisation .
Ces échanges ont permis de confirmer l’existence d’un dysfonctionnement des inscriptions au FICP, intervenu en mai 2010, à la suite de mesures déployées par la société afin d’anticiper la réforme de ce fichier introduite par la loi n° 2010-737 du 1er juillet 2010. Ce dysfonctionnement a engendré la radiation systématique de chaque personne concernée, sur la seule présentation d’un prélèvement bancaire de régularisation, indépendamment de toute régularisation des montants dus. En cas de rejet dudit prélèvement, celui-ci était identifié comme un nouvel incident de paiement caractérisé au sens de l’arrêté du 26 octobre 2010 modifié concernant le fonctionnement du fichier national des incidents de remboursement des crédits aux particuliers. Il engendrait une nouvelle inscription au FICP avec la date du dernier rejet comme date de référence.
Dans son courrier en date du 15 septembre 2016, la société a notamment indiqué avoir :
constaté ce dysfonctionnement en novembre 2011 et mis en place un correctif en novembre 2012 ;
identifié 38 329 personnes impactées par ce dysfonctionnement qui a eu pour effet de modifier la date de fin d’inscription au FICP, dont 5644 personnes toujours concernées et devant faire l’objet de mesures de reprises à compter du 19 septembre suivant.
Interrogée par les services de la CNIL, la société a précisé dans son courrier du 10 octobre 2016 que sur les 38 329 personnes impactées, 32 685 clients ne sont plus déclarés au FICP en raison du règlement des sommes dues ou de l’écoulement du délai de cinq ans prévu par l’article 8 de l’arrêté du 26 octobre 2010 susvisé qui dispose que : Les informations […] sont conservées dans le fichier pendant cinq ans à compter de la date à laquelle l'incident est devenu déclarable. Elles sont radiées dès la réception de la déclaration du paiement intégral des sommes dues, effectué en application du II de l'article 6. Les renseignements centralisés sont modifiés ou effacés par la Banque de France dès la réception de l'indication fournie par l'établissement ou l'organisme mentionné à l'article 1er que la déclaration initiale était erronée . Elle a en outre indiqué avoir effectué les mesures de reprise (mise à jour de la date d’inscription au FICP) annoncées dans son précédent courrier s’agissant des 5644 personnes qui étaient toujours concernées par les conséquences du dysfonctionnement.
Aux fins d’instruction de ces éléments, la Présidente de la Commission a désigné M. Jean-Luc VIVET en qualité de rapporteur, le 21 octobre 2016, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée.
A l’issue de son instruction, le rapporteur a notifié à la société le 8 novembre 2016 par huissier, un rapport détaillant le manquement à la loi qu’il estimait constitué en l’espèce. Ce rapport proposait à la formation restreinte de la CNIL de prononcer un avertissement, dont il sollicitait par ailleurs qu’il soit rendu public. Etait également jointe au rapport une convocation à la séance de la formation restreinte du 15 décembre 2016 indiquant à l’organisme qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites.
La société X a produit le 6 décembre 2016 des observations écrites sur le rapport, réitérées oralement lors de la séance de la formation restreinte du 15 décembre 2016.
II- Motifs de la décision
Sur le manquement à l’obligation de traiter des données exactes et mises à jour 
L’article 6-4°de la loi du 6 janvier 1978 modifiée prévoit qu’un traitement ne peut porter que sur des données à caractère personnel qui sont exactes, complètes et, si nécessaire, mises à jour et que les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées .
Les dispositions de l’arrêté du 26 octobre 2010 modifié concernant le fonctionnement du fichier national des incidents de remboursement des crédits aux particuliers prévoient, quant à elles, une procédure d’inscription au FICP des incidents de remboursement des crédits et, symétriquement, de radiation lorsque la situation a été régularisée.
Il appartient à la formation restreinte de décider si la société X a manqué à l’obligation lui incombant de traiter des données exactes et mises à jour.
En défense, la société ne conteste pas l’existence d’un dysfonctionnement dans son système d’information et précise que ce dernier est apparu à la suite de la réforme du FICP .
Elle indique avoir demandé à son prestataire, la société X , en charge de l’ensemble des étapes d’inscription et de radiation au FICP, de procéder à l’adaptation de son système d’information et d’y apporter un correctif, lequel est intervenu en novembre 2012.
La société considère à ce titre, que l’obligation pesant sur son prestataire, s’agissant de la résolution du dysfonctionnement, est une obligation de moyens et non une obligation de résultat. Elle estime en effet que le concept d’erreur est inhérent au domaine informatique.