AgentPublic/cnil huggingface dataset:
La formation restreinte, tout en soulignant la diligence de la société qui a réagi immédiatement après la révélation de la faille pour corriger cette dernière, relève toutefois que les mesures élémentaires de sécurité n’avaient pas été prises en amont de la mise en production d’une nouvelle fonctionnalité de son site internet.
Elle note à cet égard que le site internet de la société, qui permet d’effectuer des commandes en ligne après avoir créé un compte dédié, n’intégrait pas de fonctionnalité permettant de vérifier qu’un client s’est bien authentifié à son espace personnel avant de lui donner accès auxdits documents. La formation restreinte estime que la société aurait dû mettre en place une restriction d’accès aux documents mis à disposition des clients via leur espace réservé dès lors que ce dernier a précisément pour objet de permettre aux clients d’accéder aux commandes en cours et passées, à leurs avoirs ou encore à leurs factures. Elle considère ainsi que la mise en place d’une telle fonctionnalité constitue une précaution d’usage essentielle dont la mise en œuvre aurait permis de réduire significativement le risque de survenance d’une telle violation de données.
La formation restreinte relève par ailleurs que l’exploitation de la violation de données ne nécessitait aucune compétence technique particulière. Elle rappelle en effet que pour accéder aux documents d’autres clients, il suffisait de modifier le paramètre id relatif à l’identifiant de la facture, lequel était parfaitement visible au sein de l’URL affichée dans la barre d’adresse du navigateur lorsqu’un client consulte une facture ou un bon de commande. La formation restreinte rappelle en outre que, de manière générale, l’exposition de ressources sans contrôle d’accès préalable, est identifiée depuis de nombreuses années comme faisant partie des failles de sécurité devant faire l’objet d’une surveillance particulière et doit, en conséquence, faire l’objet de vérifications notamment dans le cadre d’audits de sécurité. A cet égard, la formation restreinte souligne la facilité avec laquelle il est possible de modifier le paramètre d’une URL ainsi que l’importance de procéder à un protocole complet de test en amont de la mise en production d’un site internet.
Elle relève en outre que le caractère informel des échanges qui interviennent entre la société et son prestataire a rendu, en l’espèce, plus difficile le suivi par le responsable de traitement, des actions entreprises par son prestataire, des correctifs apportés par ce dernier ainsi que des recommandations qui pourraient être formulées.
La formation restreinte note par ailleurs que si la société a indiqué, lors de la séance du 22 février 2018, qu’une procédure spécifique était appliquée lors de la mise en production d’une mise à jour de son site internet, une information contraire a été donnée à la délégation de la CNIL lors du contrôle du 9 août 2017. La formation restreinte relève en effet que la société a indiqué qu’il n’existait, au jour du contrôle, aucune procédure décrivant les tests à mettre en œuvre lors d’une mise en production d’une mise à jour du site et qu’aucun procès-verbal de recette n’est établi à cette occasion.
En outre, s’agissant des précautions prises par la société, elle observe notamment qu’aucun élément n’a été transmis permettant d’attester qu’un audit de son site internet ait effectivement été réalisé et, a fortiori, qu’un audit du code source dudit site ait déjà été mené. La formation restreinte constate enfin que le document transmis par la société, dans le cadre de ses observations en défense, ne permet pas d’affirmer que les mesures de sécurité élémentaires et correspondant à l’état de l’art étaient effectivement mises en place à la date de l’incident de sécurité.
En deuxième lieu, la société estime que le rapporteur s’est fondé sur des faits inexacts, à savoir le numéro de la dernière facture téléchargée, pour déterminer le nombre de documents ayant été rendu librement accessibles. Elle émet également plusieurs réserves sur la méthodologie employée par le rapporteur pour déterminer le volume de données en cause ainsi que la durée de l’incident. 
En ce qui concerne le nombre de documents concernés, la formation restreinte rappelle que c’est la société qui a expressément indiqué, par courrier du 7 septembre 2017, qu’à la date du 31 juillet 2017 sa base de données contenait 299 983 factures et 34 786 bons de commande, soit 334 769 documents. Dès lors que la dernière facture téléchargée par la Commission portait le numéro 354 806 et que, lors du contrôle du 9 août 2017, la société a indiqué que le numéro de facture est notamment constitué d’un numéro de séquence incrémentiel, elle en déduit que la base de données du site internet de la société contenait entre 334 769 et 354 806 documents.
Elle relève que, si la société soutient qu’en réalité seul un nombre limité de factures étaient concernées par l’incident de sécurité, cette dernière ne fournit aucun élément à l’appui de cet argument.
La formation restreinte relève par ailleurs que l’estimation du rapporteur quant au volume de données concernées par l’incident de sécurité résulte de l’analyse de l’échantillon de fichiers téléchargés par la délégation de la CNIL lors du contrôle du 31 juillet 2017. Elle considère qu’une telle estimation avait pour objet de déterminer un ordre de grandeur quant aux données ayant été rendues librement accessibles dès lors que la société n’a été en mesure d’indiquer ni le nombre de clients uniques concernés par l’incident de sécurité, ni le nombre de numéros de sécurité sociale ayant été diffusés.
La formation restreinte rappelle à cet égard que, si la société a indiqué qu’une telle extrapolation à partir d’un échantillon de données a déjà été écartée par le Conseil d’Etat en matière de contrôle de la sécurité sociale , aucune autre précision n’a été apportée sur ce point. Or, le Conseil d’Etat a, au contraire, estimé dans une décision du 19 mai 2017 qu’il était possible pour la commission des sanctions de l’Autorité des Marchés Financiers (AMF), compte tenu de la nature du manquement en cause – dans ce cas d’espèce, une manipulation de cours au moyen d’un programme algorithmique appliquant une même stratégie pendant une certaine période - de procéder à une estimation du montant total des profits réalisés en se fondant seulement sur un échantillon des opérations réalisées (CE, 19 mai 2017,
req. n° 396698). De même, la nature du manquement permettait en l’espèce, en tout état de cause, de se fonder sur un échantillon pour en apprécier l’ampleur.
En outre, la formation restreinte rappelle qu’il n’est pas contesté que des données sensibles au sens de l’article 8 de la loi du 6 janvier 1978 modifiée (correction ophtalmologique) ont été rendues librement accessibles sur internet ainsi que le NIR. Elle rappelle qu’il s’agit d’informations relevant de la vie privée des personnes et qui, au regard de leur nature particulière, auraient dû faire l’objet de garanties de sécurité renforcées indépendamment du volume de données concernées.
La formation restreinte relève en outre que tout en s’opposant aux conclusions du rapporteur qui estime que l’incident de sécurité aurait duré près de sept mois sans que la société n’en ait eu connaissance, compte tenu des informations transmises par elle, cette dernière a indiqué à plusieurs reprises ne pas être en mesure de déterminer la date d’apparition de la faille, dont elle a été informée par la CNIL le 31 juillet 2017.
Sur la base de ces éléments, la formation restreinte considère que le manquement à l’article 34 de la loi du 6 janvier 1978 modifié est constitué dès lors que la société n’a pas pris toutes les précautions utiles afin d’empêcher que des tiers non autorisés aient accès aux données traitées.
Sur la sanction et la publicité
Aux termes des alinéas 1er et 2ème l’article 47 de la loi du 6 janvier 1978 modifiée,  Le montant de la sanction pécuniaire prévue au I de l'article 45 est proportionné à la gravité du manquement commis et aux avantages tirés de ce manquement. La formation restreinte de la Commission nationale de l'informatique et des libertés prend notamment en compte le caractère intentionnel ou de négligence du manquement, les mesures prises par le responsable du traitement pour atténuer les dommages subis par les personnes concernées, le degré de coopération avec la commission afin de remédier au manquement et d'atténuer ses effets négatifs éventuels, les catégories de données à caractère personnel concernées et la manière dont le manquement a été porté à la connaissance de la commission.
Le montant de la sanction ne peut excéder 3 millions d'euros .
La société estime qu’au regard des critères fixés par l’article 47 de la loi du 6 janvier 1978 modifiée, le montant d’au moins deux cents cinquante mille (250.000) euros proposé par le rapporteur est disproportionné.
Elle rappelle qu’elle n’a tiré aucun avantage du manquement, lequel est en tout état de cause d’une gravité relative et présente un caractère limité. La société précise que le manquement n’était pas intentionnel et qu’aucun dommage ne semble avoir été subi par les personnes concernées. Elle précise à cet égard, d’une part, qu’il n’était pas possible d’accéder à l’espace client ni de modifier les factures des personnes concernées et, d’autre part, n’avoir trouvé aucune trace d’exploitation desdites données, celles-ci n’ayant par ailleurs pas fait l’objet d’une indexation par les moteurs de recherche.
La société rappelle qu’elle a été extrêmement réactive en informant immédiatement son prestataire de la violation de données, lequel a sans délai procédé à la mise en place d’un correctif. Elle rappelle également avoir coopéré avec la CNIL tout au long de la procédure.
La société fait en outre valoir que le montant de la sanction proposée par le rapporteur tient compte de la précédente sanction prononcée par la formation restreinte à son encontre.
Si la société a fait preuve de réactivité et a effectué les diligences nécessaires auprès de son prestataire, la formation restreinte souligne néanmoins que les services de la CNIL ont pu accéder aux données des clients de la société, cet accès ayant confirmé l’existence du défaut de sécurisation signalé par un tiers. Elle rappelle en outre que la société a reconnu que son site internet présentait un défaut de sécurisation résultant de l’absence de fonctionnalité permettant de vérifier qu’un client s’est bien authentifié à son espace personnel avant de lui permettre l’accès aux factures et bons de commande le concernant. La formation restreinte rappelle à cet égard que la seule modification du code source du site internet a permis de remédier au défaut de sécurisation en cause dont le caractère élémentaire n’a au demeurant pas été contesté.
Elle relève également qu’à la date de l’incident de sécurité, la base de données de la société contenait 334 769 documents et que le défaut de sécurisation a rendu librement accessibles des données directement identifiantes (nom, prénom, adresse postale, date de naissance), des données sensibles au sens de l’article 8 de la loi du 6 janvier 1978 modifiée ainsi que le NIR des personnes concernées. En outre, il a concerné un nombre important de ses clients, la société ayant indiqué que […] clients ont au moins une facture stockée sur son site internet. Rien n’indique par ailleurs qu’à défaut d’avoir été alertée par la délégation de la CNIL, la société aurait eu connaissance de cette violation de données.
La formation restreinte note également que la société se prévaut de l’absence de préjudice pour les personnes concernées par le défaut de sécurité, en indiquant notamment que les URL en cause n’ont pas fait l’objet d’une indexation par les moteurs de recherche. La formation restreinte rappelle toutefois que les risques liés à la divulgation de données personnelles ne sauraient être limités à une indexation de ces dernières par les moteurs de recherche ou à l’accès à l’espace client et à la modification de documents. En effet, la divulgation de données se rapportant à l’identité des personnes concernées expose ces dernières à des risques multiples parmi lesquels figure celui de faire l’objet d’un hameçonnage ciblé ( phishing ).
En ce qui concerne l’argument de la société tiré de la prise en compte, par le rapporteur, d’une sanction antérieure, la formation restreinte relève que si cet élément a été évoqué par lui, il était présenté comme une simple référence à des fins contextuelles et non comme une circonstance aggravante au titre du manquement qui lui était imputé. La formation restreinte estime que les termes de l’article 47 de la loi du 6 janvier 1978 ne font au demeurant pas obstacle par eux-mêmes à la prise en compte d’un précédent manquement aux mêmes dispositions de l’article 34 de cette loi, concernant le même site, afin de déterminer le montant de la sanction pécuniaire.
Au regard des éléments développés ci-dessus, les faits constatés et le manquement constitué à l’article 34 de la loi du 6 janvier 1978 modifiée justifient que soit prononcée une sanction pécuniaire d’un montant de deux cent cinquante mille (250.000) euros.
Enfin, elle considère qu’au regard des éléments précités faisant notamment état du caractère particulièrement sensible des données en cause, du contexte actuel dans lequel se multiplient les incidents de sécurité et de la nécessité de sensibiliser les internautes quant aux risques pesant sur la sécurité de leurs données, il y a lieu de rendre publique sa décision.
 
 
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de prononcer à l’encontre de la société X une sanction pécuniaire d’un montant de deux cent cinquante mille (250.000) euros ; 
de rendre publique sa délibération, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
 
 
 
 
 
Le Président
 
 
 
Jean-François CARREZ
 
 
 
 
 
 
 
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des affaires sociales et de la santé d'une demande d'avis sur un projet de décret portant création d'un traitement de données à caractère personnel dénommé portail numérique des droits sociaux ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, notamment son article L. 114-12 ;
Vu le code du travail, notamment son article L. 6323-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I (1°) ;
Vu la loi n° 2014-440 du 20 janvier 2014 garantissant l'avenir et la justice du système de retraite ;
Vu la loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels, notamment son article 39 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 24 juillet 2015 portant création d'un traitement de données à caractère personnel par la direction interministérielle des systèmes d'information et de communication d'un téléservice dénommé FranceConnect ;
Sur la proposition de M. Philippe GOSSELIN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
Le portail numérique des droits sociaux (PNDS) constitue un point d'entrée centralisé aux plateformes des organismes sociaux permettant aux assurés d'accéder à des informations générales sur les prestations et droits dans les domaines de la santé, de la retraite, du chômage, du logement, de la solidarité et de la famille, et, d'autre part, de consulter les informations relatives à leur situation.
Ce traitement a été créé par le décret n° 2017-351 du 20 mars 2017 portant création du traitement de données à caractère personnel dénommé portail numérique des droits sociaux pris après avis de la commission en date du 21 janvier 2017.
En application de l'article 1er de ce décret, la Caisse centrale de la mutualité sociale agricole (CCMSA) est le responsable de traitement.
Le présent projet de décret modifie l'origine et les catégories de données collectées, les durées de conservation et les destinataires des données contenues dans le traitement afin de prendre en compte les nouvelles fonctionnalités du PNDS.
Sur le fonctionnement du traitement et l'origine des données traitées :
Concernant le fonctionnement du traitement, à chaque connexion de l'assuré au PNDS, celui-ci interroge, sur la base du NIR conservé dans le système, le répertoire national commun de la protection sociale (RNCPS) afin de déterminer quels sont les organismes gérant des prestations pour l'assuré concerné. Cette opération permet au système de récupérer auprès des organismes identifiés les informations qu'ils détiennent concernant l'assuré afin de lui afficher un portail personnalisé.
Le ministère souhaite à présent permettre au PNDS d'interroger également le répertoire national inter-régimes des bénéficiaires de l'assurance maladie (RNIAM) afin de déterminer l'organisme principal chargé de verser les frais de santé pour les personnes rattachées à plusieurs régimes d'assurance maladie, le RNCPS ne permettant pas d'obtenir cette information dans ce cas de figure.
La commission estime que cette modification n'appelle pas d'observation particulière.
Sur la nature des données traitées :
Afin d'améliorer le service produit par le PNDS, le ministère prévoit de mettre à disposition des usagers un formulaire d'avis permettant d'identifier et analyser les évolutions à apporter au traitement.
Cette modification nécessite la collecte de données relatives à la tranche d'âge et au sexe de l'usager qui seront issues du formulaire d'avis.
Cet ajout n'appelle pas d'observation particulière de la commission.
Pour permettre aux usagers qui rencontreraient des difficultés liées à l'utilisation du site un formulaire de contact sera accessible aux usagers sur le PNDS sur lequel ils pourront renseigner leur titre, nom, prénom, adresse e-mail, ainsi que le sujet sur lequel porte leur demande. Ils pourront ensuite rédiger leur message dans une zone de commentaire libre.
La commission rappelle qu'une sensibilisation à la vie privée des personnes susceptibles de remplir ces zones de commentaires est nécessaire. Elle recommande qu'une mention s'affiche automatiquement sur l'écran des utilisateurs pour leur rappeler notamment que les messages ne peuvent contenir que des mentions neutres et factuelles et ne pas contenir de données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée.
La commission observe que l' article 2 du décret n° 2017-351 du 20 mars 2017 susvisé prévoit en son dernier alinéa que pour la simulation des prestations sociales auxquelles l'usager est susceptible d'avoir droit, des données pourront être renseignées par l'usager.
Elle recommande que cet article soit complété afin d'indiquer que les données pourront également être renseignées par l'usager pour l'utilisation du formulaire de contact.
Sur les durées de conservation des données :
L' article 5 du décret n° 2017-351 du 20 mars 2017 susvisé prévoit que les données sont accessibles mais ne sont pas conservées par le traitement à l'exception du NIR, de l'identifiant France Connect de l'assuré et des données relatives à la traçabilité des accès.
Le ministère souhaite permettre au PNDS d'adresser à l'usager des rappels utiles sous la forme de messages portant sur la détection de droits potentiels, sur les démarches à engager en fonction d'événements de vie ou sur l'échéance de droits de certaines prestations.
Cette modification nécessite que des données relatives à la situation et au profil de l'usager soient conservées le temps strictement nécessaire afin d'afficher au moment de la connexion, les rappels utiles concernant ses droits.
La mise en place du formulaire d'avis nécessite également de conserver les données concernant les avis des usagers sur le service. Le projet de décret prévoit que ces données sont conservées pour une durée qui ne peut excéder six mois après l'achèvement des opérations d'expulsion.
La commission estime que ces durées de conservation n'excèdent pas celles nécessaires à l'accomplissement des finalités pour lesquelles elles sont collectées.
Sur les destinataires des données :
L' article 4 du décret n° 2017-351 du 20 mars 2017 est modifié. Il prévoit maintenant que les agents de la caisse centrale et des organismes de la mutualité sociale agricole chargés de l'assistance ont accès aux données contenues dans le traitement.
La commission relève que cette disposition concerne les agents en charge de l'assistance en ligne et ceux chargés de l'assistance téléphonique.
Cette modification n'appelle pas d'observations de la commission.
Sur la sécurité des données et la traçabilité des actions :
La commission prend acte de ce que des données seront dorénavant stockées dans le PNDS afin de permettre l'affichage de notifications à destination des usagers. Le ministère indique que les contenus des notifications seront stockés chiffrées, ce que la commission accueille favorablement. Elle rappelle au ministère que pour être effectif ce chiffrement doit être à l'état de l'art et donc suivre les préconisations de l'ANSSI en la matière.
Concernant l'usage du NIR en tant que clé des notifications, la commission estime que les mesures de sécurité mises en œuvre par le ministère apparaissent à l'état de l'art, en ce qu'elles prévoient l'usage d'algorithmes conformes au référentiel général de sécurité, la possibilité de changer les clés en cas de compromission, ainsi que la séparation des clés de chiffrement et des clés de notification, toutefois elle invite le ministère à utiliser un autre identifiant afin que l'usage du NIR soit cantonné aux cas dans lesquels il est strictement nécessaire.
La commission constate que la politique de mot de passe prévue par le ministère n'est pas conforme à sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, en ce qu'elle ne prévoit pas un verrouillage automatique des comptes en cas de multiples saisies erronées. La commission prend toutefois acte de ce que le ministère a démarré des travaux de mise en conformité avec sa doctrine afin d'authentifier de façon fiable les utilisateurs du traitement.
Concernant les échanges de données avec les partenaires, la commission prend acte de ce que ces échanges feront l'objet de plusieurs mesures de sécurité, notamment des mesures de chiffrement des données pour en assurer la confidentialité.
Par ailleurs la commission se félicite que le ministère ait réalisé une étude d'impact sur la vie privée des personnes concernées par le portail. Elle invite le ministère à actualiser régulièrement cette étude lors de chaque évolution du portail ou de son environnement technique, afin que celle-ci soit la plus à jour possible.
Les autres mesures de sécurité n'appellent pas d'observation de la part de la commission.
Pour la présidente,
Le vice-président délégué,
M.-F. Mazars