AgentPublic/cnil huggingface dataset:
Lors du contrôle sur place du 9 mars 2018, la délégation a constaté qu’il n’était effectivement plus possible d’afficher les contrats et factures accessibles à partir des URL susvisées. Le contrôle a permis de constater que la saisie de plusieurs adresses URL composées comme suit https://www.[...].fr/archived/index/printcontract/archived_id/X renvoyait un message d’erreur que l’on soit, ou non, un utilisateur connecté à son espace client. Les données avaient donc effectivement été rendues inaccessibles.
Interrogée sur la date à laquelle le défaut de sécurité était apparu, la société a expliqué que la vulnérabilité trouvait son origine dans la fusion des marques X et […] et des systèmes informatiques correspondants, en 2015. Une base spécifique aux anciens clients […] a été conservée par la société afin de permettre à ces clients et anciens clients d’accéder à leurs contrats et factures. Il s’agit de la base de données concernée par la violation de données.
À l’occasion de tests effectués à la suite de la fusion de ces bases de données, le code informatique rendant nécessaire l’authentification au site web xxx avait été désactivé. En raison d’une erreur humaine commise par une personne agissant pour le compte de la société, ce code n’a pas été réactivé à l’issue des tests réalisés.
Aux fins d’instruction de ces éléments, la présidente de la commission a désigné M. François PELLEGRINI en qualité de rapporteur, le 1er octobre 2018, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après loi du 6 janvier 1978 modifiée ou loi Informatique et Libertés ).
À l’issue de son instruction, le rapporteur a notifié à la société X le 5 octobre 2018 un rapport détaillant les manquements à la loi qu’il estimait constitués en l’espèce et a proposé à la formation restreinte de la CNIL de prononcer une sanction pécuniaire de cinq cent mille (500 000) euros qui serait rendue publique. Ce rapport était accompagné d’une convocation pour la séance de la formation restreinte du 13 décembre 2018 et invitait la société à produire des observations en réponse dans un délai d’un mois.
Le 31 octobre 2018, la société a, par l’intermédiaire de son conseil, produit des observations écrites auxquelles le rapporteur a répondu le 15 novembre suivant en application des dispositions prévues par l’article 75 du décret no 2005-1309 du 20 octobre 2005 modifié. Dans sa réponse, le rapporteur proposait de réduire la sanction prononcée à un montant de deux cent cinquante mille (250 000) euros.
Le 29 novembre 2018, par l’intermédiaire de son conseil, la société a produit de nouvelles observations en réponse à celles du rapporteur.
Elle a réitéré oralement l’ensemble de ses observations devant la formation restreinte le 13 décembre 2018.
Motifs de la décision
Sur le manquement à l’obligation d’assurer la sécurité et la confidentialité des données
L’article 34 de la loi du 6 janvier 1978 modifiée, dans sa version applicable au jour des constats, dispose que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
À titre liminaire, la société expose que l’article 34 de la loi Informatique et Libertés précité met à la charge du responsable de traitement une obligation de moyen et non de résultat. Elle considère qu’en l’espèce, elle n’a commis aucun manquement à ses obligations dans la mesure où la violation de données dont elle a été victime ne résulte pas de l’insuffisance des mesures qu’elle aurait prises en matière de sécurité mais d’une erreur humaine. Elle considère que la lecture de l’article 34 faite par le rapporteur revient à rendre imputable à un responsable de traitement n’importe quelle violation de données à caractère personnel, quelles que soient les circonstances dans lesquelles serait intervenue cette violation, et fait peser sur lui une obligation de résultat en matière de sécurité.
La formation restreinte rappelle qu’en application de l’article 34 précité, il appartient bien à la formation restreinte de décider si la société X a manqué à l’obligation lui incombant de prendre des mesures suffisantes pour assurer la sécurité des données personnelles contenues dans son système d’information, et en particulier celles des utilisateurs du site web xxx. La formation restreinte relève à cet égard que la société X ne conteste ni le fait que des données à caractère personnel qu’elle traite ont été librement accessibles par le biais des adresses URL évoquées, ni l’origine de cette violation de données.
En premier lieu, sur la mesure de protection mise en place, la société considère qu’elle a respecté les règles de l’art en mettant en place, au moment de la fusion de ses systèmes d’information, un mécanisme rendant nécessaire l’authentification de l’utilisateur avant de lui permettre d’accéder aux données sur le site web xxx. Elle considère qu’une seconde mesure de protection, telle que le fait de rendre les adresses URL imprévisibles ou difficilement lisibles, n’est une pratique imposée ni par les textes, ni par l’état de l’art.
Sur ce point, la formation restreinte constate que l’article 34 précité n’est pas prescriptif quant aux mesures devant être déployées par les responsables de traitement pour garantir la sécurité d’un traitement tant que l’obligation est, in fine, respectée.
La formation restreinte considère ainsi que bien qu’une mesure visant à rendre les adresses URL imprévisibles puisse apparaitre adaptée et proportionnée en l’espèce, au regard du nombre de données à caractère personnel accessibles, de la nécessité de les protéger, et de la fragilité induite par l’existence d’adresses URL prévisibles, cette mesure ne présente effectivement pas un caractère obligatoire, d’autres mesures pouvant permettre d’assurer une protection équivalente des données traitées. Les précautions à prendre pour préserver la sécurité des données relèvent de la responsabilité du responsable de traitement.
La formation restreinte constate qu’en l’espèce, la société X a fait le choix de ne pas mettre en œuvre de mesure complémentaire à l’authentification des utilisateurs du site web xxx. En conséquence, la formation restreinte estime que ce choix a fait peser sur la société une obligation particulièrement renforcée quant à la vigilance qu’il convenait de porter à cette unique mesure de sécurité.
En second lieu, sur l’attention portée à la mesure de protection mise en place, la société affirme avoir réalisé de nombreux audits et tests de sécurité afin de mettre à l’épreuve la protection des données à caractère personnel qu’elle traite. Ces tests ont été réalisés chaque année, tant directement par la société que par l’intermédiaire de prestataires extérieurs, entre 2015 et 2018. Elle rappelle qu’aucun de ces tests n’a permis de découvrir la vulnérabilité rendant accessibles les données.
La société explique l’absence d’efficacité de ces tests en raison de la méthode retenue : elle indique que des comptes d’utilisateurs factices sont créés à l’occasion de ces tests afin de simuler les actions réalisables par un utilisateur réel, et que ces comptes doivent être régulièrement générés pour adapter les tests à l’évolution de l’environnement informatique. Les comptes utilisés pour les tests effectués se sont donc révélés non adaptés pour identifier la vulnérabilité puisque seuls des comptes de clients […] créés entre juillet 2011 et décembre 2014 pouvaient révéler la vulnérabilité ici en cause.
La société affirme également qu’il lui était matériellement impossible d’effectuer efficacement une revue manuelle des […] lignes qui composaient le code informatique de son site web.
Si la formation restreinte constate que la société justifie de la réalisation de plusieurs tests d’intrusion et de plusieurs audits portant sur le code de son site web, elle relève que ces tests n’étaient pas adaptés aux spécificités de la base héritée et qu’ils ne pouvaient amener à la découverte de la vulnérabilité. Ces tests étaient donc inefficaces en l’espèce.
De la même manière, si la formation restreinte pourrait admettre qu’une revue manuelle de l’ensemble du code du site web de la société peut ne pas être proportionnée au regard du nombre de lignes composant ce code, la formation restreinte estime néanmoins que l’attention particulière à apporter au mécanisme d’authentification nécessitait une revue manuelle du code portant uniquement sur cet élément critique. Une telle mesure n’apparaît en effet pas disproportionnée dans ce cas précis, tant au regard des moyens humaines et techniques à disposition de la société X que des risques encourus par plus de deux millions de personnes concernées par la violation.
La formation restreinte constate en outre que le code commenté comportait spécifiquement l’indication qu’il devait être supprimé à l’issue de la phase de test. Une revue manuelle de ces lignes aurait ainsi immédiatement permis la découverte de l’erreur à l’origine de la vulnérabilité.
La formation restreinte estime dès lors que, si l’oubli de réactiver le code rendant nécessaire l’authentification des utilisateurs sur le site web de la société est effectivement une erreur humaine, dont la société ne peut se prémunir totalement, le fait de ne pas avoir mis en œuvre, pendant plus de deux années, les mesures efficaces permettant de découvrir cette erreur constitue une violation des obligations imposées par l’article 34 susvisé. Des mesures de revue automatisée du code adaptées aux spécificités du système d’information hérité et une revue manuelle de la partie du code en charge de l’authentification auraient permis de découvrir la vulnérabilité et d’y remédier.
La formation restreinte considère, par conséquent, que la société n’a pas porté à la base en question l’attention nécessaire pour assurer la sécurité des données personnelles traitées.
Sur la sanction et la publicité
Aux termes du I de l’article 45 de la loi du 6 janvier 1978 modifiée, dans sa version applicable au jour des constats :
 Lorsque le responsable d'un traitement ne respecte pas les obligations découlant de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut le mettre en demeure de faire cesser le manquement constaté dans un délai qu'il fixe. En cas d'extrême urgence, ce délai peut être ramené à vingt-quatre heures.
Si le responsable du traitement se conforme à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure. Dans le cas contraire, la formation restreinte de la commission peut prononcer, après une procédure contradictoire, les sanctions suivantes :
1° Un avertissement ;
2° Une sanction pécuniaire, dans les conditions prévues à l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'État ;
3° Une injonction de cesser le traitement, lorsque celui-ci relève de l'article 22, ou un retrait de l'autorisation accordée en application de l'article 25.
 Lorsque le manquement constaté ne peut faire l’objet d’une mise en conformité dans le cadre d’une mise en demeure, la formation restreinte peut prononcer, sans mise en demeure préalable, et après une procédure contradictoire, les sanctions prévues au présent I. 
Les alinéas 1er et 2e de l’article 47 de la loi précitée, dans sa version applicable au jour des constats, précisent que :
Le montant de la sanction pécuniaire prévue au I de l'article 45 est proportionné à la gravité du manquement commis et aux avantages tirés de ce manquement. La formation restreinte de la Commission nationale de l'informatique et des libertés prend notamment en compte le caractère intentionnel ou de négligence du manquement, les mesures prises par le responsable du traitement pour atténuer les dommages subis par les personnes concernées, le degré de coopération avec la commission afin de remédier au manquement et d'atténuer ses effets négatifs éventuels, les catégories de données à caractère personnel concernées et la manière dont le manquement a été porté à la connaissance de la commission.
Le montant de la sanction ne peut excéder 3 millions d'euros .
La société considère que le montant de 250 000 euros proposé par le rapporteur n’est pas justifié dans la mesure où les données concernées par la violation ne sont pas des données sensibles, qu’elle a réagi promptement en prenant les mesures nécessaires afin de limiter l’impact de la violation, que la violation n’a causé aucun préjudice aux personnes concernées et qu’elle a coopéré avec la CNIL.
La formation restreinte constate que la société X a été très réactive dans la mise en place d’une cellule de crise et le déploiement de mesures visant à rendre inaccessibles les données à caractère personnel concernées. La rapidité de la correction est nécessairement prise en compte par la formation restreinte pour venir modérer le montant de la sanction, bien qu’au demeurant, elle démontre également la simplicité de la vulnérabilité à l’origine de la violation de données.
La formation restreinte constate également que la société a mis en œuvre un grand nombre de mesures afin de minimiser l’impact d’une éventuelle violation de données pour ses clients, notamment le rappel des bonnes pratiques et la mise à disposition de fiches contenant des conseils pour ses clients, la lutte contre le phishing, la surveillance du dark web et la formation de ses salariés.
Néanmoins, la formation restreinte considère que la gravité de la violation est caractérisée en raison du nombre de données et de personnes concernées par la violation ainsi qu’en raison de sa durée.
Elle souligne en effet que la violation de données a concerné plus de deux millions d’utilisateurs, soit un nombre très important de personnes, et des données identifiantes telles que le nom, le prénom, la date de naissance, l’adresse de courrier électronique, l’adresse physique, le numéro de téléphone mobile. Elle relève en outre que la durée pendant laquelle, faute de vigilance adaptée, les données ont été accessibles librement et sans contrôle a été particulièrement longue (plus de deux ans et trois mois).
Elle rappelle ensuite que le fait que les données accessibles ne contiennent aucune donnée pouvant être qualifiée de sensible , au sens de l’article 8 de la loi Informatique et Libertés , est sans influence sur la caractérisation du manquement à l’obligation incombant à un responsable de traitement d’assurer la sécurité des données qu’il traite.
Au regard des éléments développés ci-dessus, les faits constatés et le manquement constitué à l’article 34 de la loi du 6 janvier 1978 modifiée justifient que soit prononcée une sanction d’un montant de 250 000 (deux cent cinquante mille) euros.
Enfin, la formation restreinte considère qu’au regard de la gravité du manquement précité, du contexte actuel dans lequel se multiplient les incidents de sécurité et de la nécessité de sensibiliser les responsables de traitements et les internautes quant aux risques pesant sur la sécurité des données, il y a lieu de rendre publique sa décision, conformément à l’article 46 de la loi du 6 janvier 1978.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de prononcer à l’encontre de la société X une sanction pécuniaire d’un montant de 250 000 (deux cent cinquante mille) euros ;
de rendre publique sa délibération sur le site de la CNIL et sur le site Légifrance, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.
 
 Le Président
 Jean-François CARREZ
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par la garde des Sceaux, ministre de la justice, d’une demande d’avis concernant un projet d’ordonnance prise sur le fondement de l’article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel, notamment son article 32 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-299 du 30 novembre 2017 portant avis sur un projet de loi d’adaptation au droit de l’Union européenne de la loi n° 78-17 du janvier 1978 ;
Après avoir entendu Mme Isabelle FALQUE-PIERROTIN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
La Commission a été saisie pour avis, le 31 octobre 2018, d’un projet d’ordonnance prise sur le fondement de l’habilitation prévue à l’article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel.
Ce projet d’ordonnance a pour objet d’achever, au niveau législatif, la mise en conformité du droit national avec le règlement (UE) 2016/679 susvisé (ci-après le Règlement ) et la directive (UE) 2016/680 susvisée (ci-après la Directive ). L’adaptation du droit français au nouveau cadre européen a été principalement réalisée par l’adoption de la loi précitée du 20 juin 2018, sur laquelle la Commission s’est prononcée dans son avis en date du 30 novembre 2017, qui a substantiellement modifié la loi du 6 janvier 1978 et a notamment fait usage de certaines des marges de manœuvre ouvertes aux Etats membres par le Règlement.
Cette loi a également habilité le Gouvernement à prendre une ordonnance visant à réécrire et remettre en cohérence la loi du 6 janvier 1978 ainsi que des textes voisins et liés à la protection des données personnelles, sans remettre en cause les choix opérés par le législateur en juin 2018. Plus précisément, l’article 32 de la loi du 20 juin 2018 fixe trois catégories d’objectifs à cette ordonnance, à savoir : apporter les corrections formelles et les adaptations nécessaires à la simplification et à la cohérence ainsi qu'à la simplicité de la mise en œuvre des dispositions adaptant le droit national au droit de l’Union ; mettre en cohérence avec ces changements l’ensemble 
de la législation applicable à la protection des données à caractère personnel ; et adapter, étendre ou rendre applicables aux pays et territoires d’outre-mer les nouvelles dispositions de la loi Informatique et Libertés .
Observations générales
A titre liminaire, la Commission estime que, pris dans son ensemble, le projet d’ordonnance remplit les objectifs qui lui ont été assignés par la loi du 20 juin 2018, sous réserve des observations formulées dans le présent avis.
En particulier, ce projet permettra l’application de règles homogènes sur le territoire métropolitain et dans l’ensemble des collectivités d’outre-mer en matière de protection des données personnelles. Il prévoit en outre de nombreuses modifications de dispositions extérieures à la loi du 6 janvier 1978, qui apparaissent de nature à améliorer l’articulation globale de la législation applicable en matière de protection des données.
De même, par son architecture, la rédaction projetée de la loi du 6 janvier 1978 tend à améliorer substantiellement la lisibilité des différents régimes applicables en fonction de la nature des traitements concernés : dispositions communes à tous les traitements (titre Ier), exigences spécifiques au champ du Règlement (titre II) et à celui de la Directive (titre V), règles propres au champ de la directive 2002/58/CE du 12 juillet 2002 susvisée (titre III) et règles relatives aux traitements ne relevant pas du champ d’application du droit de l’Union (titre IV relatif aux données des personnes décédées et titre VI relatif aux traitements intéressant la sûreté de l’Etat et la défense). En outre, le projet d’ordonnance fait le choix, opportun, de ne pas dupliquer les dispositions du Règlement, directement applicables, tout en comportant en tant que de besoin des renvois aux articles pertinents du Règlement.
Cette amélioration de la lisibilité de la loi Informatique et Libertés et, plus globalement, du nouvel état du droit résultant de l’entrée en application des nouveaux textes européens constitue une avancée majeure.
La Commission appelle cependant l’attention du Gouvernement sur l’impérieuse nécessité, à plusieurs égards, de poursuivre cette démarche, s’agissant d’un texte relatif à la protection de droits fondamentaux des citoyens et imposant des obligations à des opérateurs très divers, et notamment à des petites et moyennes entreprises ou à des organismes publics de taille modeste.
D’abord, le titre Ier consacré aux dispositions communes devrait être complété pour y rassembler d’autres règles transversales d’une importance particulière, sans préjudice des exceptions ou modulations de ces règles appelées à figurer dans les dispositions spécifiques des titres II à VI de la loi modifiée. Il en est ainsi, en particulier, du principe d’interdiction des décisions entièrement automatisées, du socle commun du régime des données d’infraction, à l’instar de ce que prévoit le projet d’ordonnance concernant les données sensibles , ou encore de l’obligation de sécurité qui s’impose à tout responsable de traitement. De même, cette loi devrait permettre aux personnes concernées comme aux organismes participant à la mise en œuvre de traitements de données de connaître l’ensemble des attributions de la Commission, qui ne se limitent pas à ce que prévoit en l’état son projet d’article 8. Elle estime que de tels ajouts ou précisions, conformes à la démarche générale retenue par le projet, sont nécessaires afin de donner tout son sens au principe de responsabilisation renforcée des acteurs, qui constitue un des apports principaux du Règlement.