AgentPublic/cnil huggingface dataset:
69. Elle précise qu’afin de permettre à un utilisateur d’accéder depuis un réseau non maitrisé à un système d’information interne, il est nécessaire de mettre en œuvre un canal qui établit un lien sécurisé entre le poste nomade et le système d’information interne de l’entité, au moyen de la technologie VPN (" Virtual Private Network " ou réseau privé virtuel).
70. L’ANSSI rappelle qu’" en fonction des moyens d’authentification mis en œuvre sur le poste nomade, un attaquant peut tenter d’usurper l’identité de l’utilisateur ou celle du poste nomade ". Dès lors, " il est important d’utiliser des mécanismes robustes […] d’authentification […] pour la mise en place du canal d’interconnexion d’un poste nomade ".
71. En situation de nomadisme, l’ANSSI estime que " trois niveaux d’authentification doivent être considérés :
- authentification de l’utilisateur sur le poste nomade ;
- authentification du poste nomade sur le SI [système d’information] ;
- authentification de l’utilisateur sur le SI [système d’information] ".
72. S’agissant plus spécifiquement de l’authentification du poste nomade sur le système d’information de l’entité, l’ANSSI rappelle que l’objectif est de garantir que le poste utilisé pour accéder au système d’information est un équipement maîtrisé par l’entité afin de réduire les risques qui résulteraient de l’utilisation de postes nomades non maîtrisés et dont le niveau de sécurité ne serait pas conforme à la politique de sécurité de l’entité. Elle recommande " d’authentifier le poste nomade sur le SI [système d’information] au moyen d’un certificat machine [c’est-à-dire d’un certificat lié au poste nomade et non pas à l’utilisateur du poste nomade] " et de " protéger la clé privée de ce certificat en intégrité et en confidentialité, afin de s’assurer qu’elle ne puisse être accédée ni par l’utilisateur nomade ni par un attaquant ".
73. Dès lors, l’ANSSI recommande depuis 2018 d’authentifier le poste nomade d’un utilisateur sur un système d’information au moyen d’un certificat machine, qui est lié au poste nomade et non pas à l’utilisateur de celui-ci.
74. Dans son " Guide de la sécurité des données personnelles " de mars 2024, la CNIL recommande également de " privilégier l’authentification multi facteur lorsque cela est possible, en particulier lorsque la connexion est accessible depuis l’extérieur du réseau de l’organisme ".
75. Il résulte de ce qui précède que tant l’ANSSI que la CNIL recommandent d’authentifier un utilisateur sur un système d’information en mettant en œuvre une authentification multi facteur forte, notamment lorsque la connexion au système d’information de l’entité est accessible depuis l’extérieur de son réseau.
76. Le rapporteur reproche à la société de ne pas avoir mis en place des mesures de sécurité appropriées pour sécuriser l’accès par les utilisateurs au VPN de la société, […]. Il considère que ces vulnérabilités constituent un manquement à l’article 32 du RGPD. Il note que la société a entamé le déploiement de ces mesures au cours de la procédure de sanction afin de se mettre en conformité.
77. En défense, la société soutient avoir mis en place, au jour du contrôle, des mesures de sécurité suffisamment robustes s’agissant de l’authentification des utilisateurs et de leurs postes lors de leur connexion à son VPN.
78. […].
79. […].
80. […].
81. […].
82. […].
83. A titre liminaire, la formation restreinte rappelle que dans le contexte de nomadisme numérique, il revient au responsable de traitement de déployer des mesures permettant de garantir que, tant la personne qui se connecte, que la machine qu’elle utilise, bénéficient des autorisations nécessaires pour se connecter aux ressources internes. Ces mesures s’ajoutent à celles qui doivent exister lorsqu’une personne est déjà authentifiée sur le réseau, telles que des mécanismes d’authentification robustes lors de l’accès à des outils.
84. […].
85. La formation restreinte rappelle que la connexion au VPN d’une entité par des postes qui n’appartiennent pas à son parc informatique présente un risque pour son système d’information dès lors qu’elle ne maîtrise pas les mesures de sécurité mises en œuvre sur ces équipements, qui peuvent donc ne pas correspondre au niveau de sécurité défini dans sa politique interne.
86. […].
87. […].
88. […].
89. […].
90. […].
91. […].
92. […].
93. […].
94. […].
3.2 Sur l’absence de détection des comportements anormaux
95. Dans sa délibération n° 2021-122 du 14 octobre 202 portant adoption d'une recommandation relative à la journalisation, la CNIL rappelle que " la mise en place d’un dispositif de journalisation participe au respect de l’obligation de sécurisation de tout traitement de données à caractère personnel, en application des articles 5 et 32 du RGPD ".
96. Ainsi, elle recommande aux organismes de collecter des informations sur les personnes administrant ou accédant à leurs ressources, comme l’identifiant de l’utilisateur, la date et l’heure de l’accès et l’identifiant de l’équipement utilisé (CNIL, " La CNIL publie une recommandation relative aux mesures de journalisation ", 18 novembre 2021).
97. La CNIL rappelle dans sa recommandation susvisée que " cette sécurisation est essentiellement " active " : elle repose sur une exploitation en temps réel ou à court terme de ces données pour détecter des opérations anormales afin de parer des attaques ou intrusions, ou de remédier rapidement à un incident informatique en facilitant l’identification du problème ".
98. L’ANSSI rappelle également dans ses " Recommandations de sécurité pour l'architecture d'un système de journalisation " du 28 janvier 2022, que " l’analyse continue des journaux d’évènements permet de repérer des activités inhabituelles, tandis que l’archivage des journaux rend possible les levées de doutes a posteriori. En ce sens, la journalisation constitue également le prérequis indispensable à la mise en œuvre d’une capacité de détection, d’analyse et de réponse aux incidents de sécurité ".
99. Autrement dit, la simple collecte des données de journalisation ne suffit pas à sécuriser un système d’information. Le dispositif de journalisation n’est efficace que si une entité est en capacité de traiter les informations enregistrées dans les journaux afin d’être en mesure, le cas échéant, de détecter rapidement un comportement suspect.
100. La Commission recommande donc, dans sa recommandation susvisée, de " mettre en œuvre un système de traitement et d’analyse des données collectées et de formaliser un processus permettant de générer des alertes et de les traiter en cas de suspicion de comportement anormal. Ces données peuvent également servir ex post lorsqu’une violation de données (notamment par consultation, transmission ou usage illégaux des données) est constatée et que le responsable de traitement cherche à en établir la responsabilité ".
101. Le Comité européen de la protection des données considère également dans ses lignes directrices 9/2022 sur la notification de violations de données à caractère personnel en vertu du RGPD, que " la capacité de détecter une violation, d’y remédier et de la communiquer dans les meilleurs délais devrait être considérée comme un élément essentiel ".
Le rapporteur considère, qu’au jour du contrôle, les mesures de sécurité mises en œuvre par la société pour détecter une activité suspecte sur son outil de gestion de clientèle SIEBEL étaient insuffisantes, ce qui a rendu possible, ou a minima facilité, la perte de confidentialité de millions de données à caractère personnel d’abonnés de la société entre le 28 septembre et le 22 octobre 2024. Il note que la société s’est toutefois mise en conformité sur ce point au cours de la procédure.
102. En défense, la société considère avoir mis en œuvre, au jour du contrôle, des mesures suffisamment robustes pour détecter les comportements malveillants sur son système d’information. Elle précise avoir notamment déployé un dispositif de surveillance et d’analyse des logs, générant plusieurs rapports d’activité à destination du responsable de la sécurité du système d’information de FREE. Ces rapports comportaient notamment des informations relatives aux utilisateurs de l’outil SIEBEL qui consultent le plus de données d’abonnés fixes, et ce afin de détecter l’utilisation de robot ou des informations concernant l’activité des utilisateurs en dehors des heures ouvrées.
103. Elle précise, que dès le 28 octobre 2024, à l’issue de la violation de données en cause, elle a déployé des mesures supplémentaires visant notamment à détecter en temps réel les activités suspectes sur son outil SIEBEL (nombre d’abonnés distincts consultés et volume de recherches effectuées par les utilisateurs en une heure) et mis en place un blocage automatique en cas de dépassement de certains seuils.
104. Elle ajoute avoir, en cours de procédure, notamment mis en service un centre opérationnel de sécurité permettant de détecter plus rapidement les comportements anormaux sur son outil SIEBEL, et consacré une équipe interne aux réponses aux incidents de sécurité.
105. La formation restreinte rappelle que la société FREE autorise la société FREE MOBILE à accéder aux données contenues dans sa base de données fixes pour ce qui concerne les clients dits " convergents " (clients à la fois de la société FREE et de la société FREE MOBILE). Lorsqu’un salarié de la société FREE MOBILE réalise une recherche concernant un abonné sur l’outil de gestion de clientèle de la société FREE MOBILE, dénommé MOBO, celui-ci va notamment interroger la base de données fixe de la société FREE grâce au service web (serveur qui permet de communiquer des résultats à une requête) mis à sa disposition par la société FREE. La formation restreinte relève que, dans la réponse renvoyée, figuraient les données à caractère personnel de l’abonné concerné que détenait la société FREE (notamment l’IBAN). La formation restreinte observe que, compte tenu d’une anomalie technique liée à l’outil MOBO de la société FREE MOBILE, au jour de la violation de données, la réponse renvoyait l’entièreté de l’IBAN de l’abonné concerné, contenue dans la base de données fixe de la société FREE.
106. En premier lieu, la formation restreinte relève, qu’au jour de la violation de données, les activités réalisées sur l’outil SIEBEL de la société étaient bien journalisées, ce qui n’est d’ailleurs pas contesté par le rapporteur.
107. En deuxième lieu, […].
108. La formation restreinte note que le dispositif de journalisation de l’activité sur l’outil SIEBEL, tel que mis en place au jour de la violation de données, ne permettait pas à la société de détecter certaines situations pourtant anormales.
109. A titre d’exemple, elle observe que l’attaquant a pu accéder aux données des clients convergents contenues dans l’outil SIEBEL de la société, et ce pendant presque un mois, sans qu’une alerte ne soit émise ou, à supposer qu’une alerte ait bien été émise, sans que celle-ci soit traitée, ce qui a eu pour conséquence que la société n’a pas eu connaissance de l’accès non autorisé aux données avant que l’attaquant l’en informe lui-même.
110. Toujours à titre d’exemple, la formation restreinte note que, le 15 octobre 2024, l’attaquant a pu exfiltrer les données d’environ […] de contrats fixes, sans que ce comportement n’émette d’alerte ou, à supposer qu’une alerte ait bien été émise, sans que celle-ci n’entraine un blocage du compte à l’origine des requêtes.
111. La formation restreinte estime que cette exfiltration massive de données ne pouvait pas rester inaperçue et aurait dû déclencher une alerte ou, si une alerte avait bien été émise, aurait dû déclencher son analyse, ce qui aurait permis à la société d’identifier une situation anormale et de prendre rapidement les mesures nécessaires pour assurer la protection de son système d’information.
112. La formation restreinte considère, par conséquent, que le mécanisme de détection des comportements anormaux sur l’outil SIEBEL était inadapté au jour de la violation de données […].
113. La formation restreinte relève que ce n’est qu’à l’issue de la violation de données que la société a mis en œuvre un mécanisme de détection en temps réel, […], du nombre d’abonnés distincts consultés et du volume de recherches effectuées par les utilisateurs de son outil métier afin, le cas échéant, de bloquer automatiquement les utilisateurs dépassant les seuils fixés. Elle relève, par ailleurs, qu’au cours de la procédure de sanction, la société a mis en place un centre opérationnel de sécurité, ce qui permet à une équipe dédiée d’analyser en temps réel les journaux émis par l’outil SIEBEL.
114. En troisième lieu, à supposer que la société ait été en mesure de détecter un comportement anormal sur son outil métier au jour de la violation de données, la formation restreinte relève que celle-ci n’avait pas déployé un mécanisme visant à bloquer automatiquement l’utilisateur concerné. La formation restreinte note que l’outil SIEBEL émettait des rapports d’activité à destination du RSSI et qu’une intervention humaine était nécessaire pour vérifier si un comportement suspect était anormal et le cas échéant prendre les mesures qui s’imposaient. La formation restreinte estime que ces conditions n’étaient pas appropriées et qu’un blocage automatique aurait été une mesure adaptée pour compléter le dispositif mis en place.
115. La formation restreinte note que la société a déployé des mesures de blocage automatique à la suite de la violation de données, puis déployé un centre opérationnel de sécurité chargé d’analyser en temps réel les journaux liés à SIEBEL afin le cas échéant de prendre les mesures de blocage nécessaires.
116. Au regard de l’ensemble de ces éléments, la formation restreinte considère qu’au jour du contrôle, la société n’avait pas déployé les moyens suffisants pour être en mesure de détecter les activités suspectes sur son outil de gestion de ses abonnés, ce qui constitue un manquement à l’article 32 du RGPD.
117. La formation restreinte relève que la société a pris des mesures à la suite de la violation de données permettant de mettre fin au manquement constaté. Elle considère, dès lors, qu’il n’y a pas lieu de prononcer une injonction de mise en conformité.
C. Sur le manquement à l’obligation de communiquer aux personnes concernées de la survenance d’une violation de données à caractère personnel en application de l’article 34 du RGPD
118. En droit, aux termes de l’article 34, paragraphe 1, du RGPD, " lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais ".
119. Le paragraphe 2 de l’article susvisé précise les mentions qui doivent obligatoirement figurer dans le contenu de cette communication. Celle-ci doit contenir une description de la nature de la violation de données, des conséquences probables de la violation de données à caractère personnel, ainsi que des mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives. Par ailleurs, elle doit communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenue.
120. Le considérant 86 du RGPD précise que cette communication doit " formuler des recommandations à la personne physique concernée pour atténuer les effets négatifs potentiels " puisque que son objectif est de permettre aux personnes concernées de " prendre les précautions qui s'imposent ".
121. Le rapporteur considère que la société a commis un manquement à l’article 34 du RGPD dès lors que le courriel d’information adressé par la société aux personnes concernées par la violation de données ne permet de les éclairer ni quant aux mesures de remédiation qu’elle a prises, ni sur les conséquences probables de la violation de données, ni enfin sur les mesures que ces personnes doivent prendre pour se prémunir des risques auxquels la violation les expose.
122. En défense, la société estime avoir respecté l’article 34 du RGPD.
123. Tout d’abord, sur la forme de la communication, la société indique avoir adopté une approche à plusieurs niveaux. D’une part, un courriel a été adressé aux personnes concernées, entre les 24 et 29 octobre 2024, afin de leur communiquer un premier niveau d’information synthétique. La société précise avoir procédé à une communication échelonnée afin d’éviter de saturer les serveurs de messagerie des personnes. D’autre part, un second niveau d’information a été communiqué aux personnes par l’intermédiaire d’un numéro vert gratuit disponible 7 jours sur 7, visé dans le courriel d’information initial, et d’un dispositif interne de gestion des demandes (" ticket DPO "). La société précise que le numéro vert mis en place lui a permis de répondre à 58 239 appels et que, grâce au système de ticket DPO, elle a pu traiter 1 081 demandes.
124. Puis, sur le fond de la communication, la société considère que le courriel d’information initial était complet au regard des exigences posées par l’article 34, paragraphe 2, du RGPD. Elle fait valoir que celui-ci informait les personnes de la survenance de la violation de données en cause, les alertait sur les risques de " courriels, SMS ou appels frauduleux ", leur rappelait que ses conseillers ne demandent jamais la communication de mots de passe à l’oral et elle les invitait, en cas de situation anormale, à consulter le site officiel cybermalveillance.gouv.fr pour effectuer un signalement.
125. La société justifie l’envoi d’un message de vigilance générale par le fait qu’elle ne pouvait pas anticiper toutes les formes d’exploitation futures de la violation de données.
126. Plus spécifiquement la société soutient que l’article 34, paragraphe 2, du RGPD, qui renvoie à l’article 33, paragraphe 3, ne lui imposait pas de détailler aux personnes concernées l’ensemble des mesures prises afin de mettre fin à la violation de données. Elle considère qu’une position contraire engendrerait un risque de compromission de la sécurité du système d’information concerné.
127. Enfin, la société considère que le nombre important de plaintes reçues par la CNIL résulte de la médiatisation exceptionnelle de la violation de données, à laquelle la CNIL a participé. Elle considère que les fraudes et tentatives de fraude, dont font état certains plaignants, ne sont pas imputables à un défaut d’informations de sa part dès lors qu’elle a pris les mesures nécessaires pour sensibiliser ses abonnés aux risques de fraude (notamment, par la mise en ligne d’une page d’assistance dédiée au phishing, une campagne de sensibilisation par courriel, la mise en place d’une veille proactive des sites susceptibles de conduire des campagnes de phishing visant ses abonnés).
128. La formation restreinte rappelle que l’article 34 du RGPD impose à un responsable de traitement, victime d’une violation de données, de communiquer certaines informations aux personnes concernées lorsque la violation de données est susceptible d’engendrer un risque élevé pour leurs droits et libertés.
129. La formation restreinte rappelle également que, comme le souligne le Comité européen de la protection des données (ci-après " CEPD ") dans ses lignes directrices sur la notification de violations de données à caractère personnel en vertu du règlement (UE) 2016/679 adoptées le 28 mars 2023, " l’objectif principal [de l’article 34 du RGPD] est d’aider les personnes concernées à comprendre la nature de la violation ainsi que les mesures qu’elles peuvent mettre en place pour se protéger ".
130. Ainsi, le paragraphe 2 de l’article 34 du RGPD prévoit que la communication aux personnes concernées doit décrire la nature de la violation de données à caractère personnel et contenir " au moins " les informations et mesures visées à l'article 33, paragraphe 3, points b), c) et d). Ces informations concernent " le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues " (point b), la description des " conséquences probables de la violation de données à caractère personnel " (point c), et la description des " mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives " (point d).
131. La formation restreinte considère qu’il résulte de la rédaction du paragraphe 2 de l’article 34 du RGPD que les informations énumérées ci-dessus sont celles qui doivent, a minima, être communiquées aux personnes concernées par une violation de données à caractère personnel lorsque celle-ci est susceptible d’engendrer un risque élevé pour leurs droits et libertés.
132. Dès lors, ces informations doivent être adressées directement aux personnes concernées, dans un premier niveau d’information, car elles sont essentielles pour atteindre l’objectif poursuivi par la communication : leur permettre de comprendre la nature de la violation, ainsi que les mesures qu’elles peuvent mettre en place pour se protéger.
133. Par ailleurs, la formation restreinte observe que l’obligation, pour un responsable de traitement, de communiquer " le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact ", comme prévu par le point b) du paragraphe 2 de l’article 33 du RGPD, a pour objectif de fournir aux personnes concernées par la violation de données " des informations supplémentaires ". La formation restreinte estime que ces informations viennent donc compléter les informations essentielles devant figurer dans le premier niveau d’information et ne sauraient s’y substituer.
134. En ce sens, la formation restreinte relève que, dans ses lignes directrices sur la notification de violations de données à caractère personnel en vertu du règlement (UE)2016/679 adoptées le 28 mars 2023, le CEPD rappelle qu’" un responsable du traitement peut choisir de fournir des informations complémentaires à celles présentées ici [article 33, paragraphe 3, points b), c) et d)] comme nécessaires ".
135. Autrement dit, l’article 34, paragraphe 2, du RGPD, qui renvoie à son article 33, paragraphe 3, point b), prévoit la possibilité de communiquer auprès des personnes concernées à deux niveaux d’information : un premier obligatoire comportant les informations essentielles et un second comportant des informations complémentaires que le responsable du traitement souhaite porter à la connaissance des personnes.
136. En l’espèce, en premier lieu, la formation restreinte relève que la société a adressé aux personnes concernées par la violation de données un premier courriel d’information, qui constitue un premier niveau d’information. La société a, par ailleurs, mis en place un numéro vert, gratuit, accessible 7 jours sur 7, de 9 heures à 18 heures, dont elle communique les coordonnées dans son courriel initial, ainsi qu’un système de " ticket DPO ", pour répondre aux questions complémentaires des personnes, qui constitue un second niveau d’information.
137. La formation restreinte considère que la forme de la communication réalisée à destination des personnes concernées est conforme aux exigences posées par l’article 34, paragraphe 2, du RGPD.