AgentPublic/cnil huggingface dataset:
53. En défense, la société […] conteste l’analyse de la rapporteure selon laquelle le principe de non-rétroactivité de la sanction pénale plus sévère ne saurait s’appliquer aux manquements qui continuent à produire des effets dans le temps, au point que même débutés sous l’empire de la loi Informatique et Libertés, ils persistent sous l’égide du RGPD et doivent dès lors être qualifiés de continus et appréhendés, pour la période postérieure à l’entrée en vigueur du RGPD, par l’application des dispositions dudit Règlement. Pour ce faire, elle s’appuie également sur l’arrêt du Conseil d’Etat du 1er mars 2021 relatif à la société Futura Internationale, considérant que cette jurisprudence s’applique à un cas d’espèce distinct du présent dossier : dans l’arrêt Futura Internationale, le Conseil d’État a pris soin de préciser que des manquements délibérés n’avaient pas été corrigés malgré la mise en demeure de la CNIL. Cette jurisprudence n’est donc pas transposable au cas d’espèce selon la société dans la mesure où elle s’est d’office vu proposer une sanction sans mise en demeure ni injonction préalable de la CNIL et qu’elle a en outre collaboré de manière diligente et de bonne foi avec la CNIL dès la notification de l’incident.
54. En outre, la société […] explique que la vulnérabilité du serveur est la conséquence d’une négligence humaine isolée et non d’une carence de son dispositif technique et organisationnel. Elle rappelle que l’obligation générale de sécurité des entreprises doit s’analyser en une obligation de moyens et non de résultat. Elle ajoute qu’elle a mis fin à la violation de données immédiatement après en avoir été informée. Elle indique également que l’exploitation de données conservées dans le serveur nécessitait des connaissances informatiques et l’utilisation d’outils spécifiques, que les données présentes sur le serveur dataient de 2012 à 2013 et que, par conséquent, elles étaient difficilement exploitables par un attaquant. Elle relève enfin que l’adresse IP du serveur n’était pas référencée sur un moteur de recherche. 
55. Lors de la séance de la formation restreinte, la société a précisé que la négligence humaine évoquée dans ses écritures était en réalité imputable […]. Elle a largement insisté sur le fait qu’elle n’avait pas commis, en tant que responsable de traitement, de manquement à ses obligations en matière de sécurité dans la mesure où l’erreur a été commise par […].
56. En premier lieu, s’agissant du principe de non-rétroactivité, la formation restreinte considère que, dans la mesure où la violation de données à caractère personnel, ainsi que le défaut de sécurité dans lequel elle a trouvé son origine ont perduré après le 25 mai 2018, date de l’entrée en application du RGPD, c’est au regard de ce texte que les manquements reprochés à la société […] doivent être appréciés. Cette analyse a été confortée par le Conseil d’État dans sa décision du 1er mars 2021 concernant la société Futura Internationale. Dans cette affaire faisant suite à une plainte relative à du démarchage téléphonique de la part de la société Futura Internationale, le Conseil d’État a considéré que, si les manquements de la société ont été constatés lors d’une mission de contrôle à laquelle a procédé la CNIL avant l’entrée en application du RGPD, ils se sont poursuivis après cette date. Le Conseil d’État en a conclu que " c’est ainsi à bon droit que la CNIL, constatant le caractère continu des manquements relevés […], a considéré le RGPD applicable aux faits de l'espèce et apprécié les manquements au regard de celui-ci " (Conseil d’État, 10ème-9ème chambres réunies, 1er mars 2021, Futura Internationale, n° 437808). 
57. La formation restreinte rappelle en outre que, conformément à l’article 20 de la loi Informatique et Libertés, le président de la CNIL n’est pas tenu d’adresser une mise en demeure à l’organisme avant d’ouvrir une procédure de sanction à son encontre.
58. En deuxième lieu, la formation restreinte relève que l’accès au serveur en question n’était encadré d’aucune mesure de restriction d’accès satisfaisante dans la mesure où il était possible d’y accéder à partir d’une URL composée d’une adresse IP facilement identifiable à l’aide de programmes de balayage de ports, qui sont disponibles sur le web et souvent utilisés par les attaquants afin de détecter des serveurs non ou mal sécurisés.
59. La formation restreinte relève également que la société n’avait mis en place aucune mesure de journalisation des accès au serveur, ce qui aurait pourtant permis de détecter les actions effectuées sur le serveur. En effet, la mise en place d’une journalisation des activités, c’est-à-dire un enregistrement des activités dans des " fichiers journaux " ou " logs ", notamment pour les accès aux différents serveurs d’un système d’information, est cruciale en ce qu’elle permet de tracer les activités et de détecter toutes les anomalies ou évènements liés à la sécurité, comme les accès frauduleux et les utilisations abusives de données à caractère personnel. Ainsi, dans ses recommandations de sécurité pour la mise en œuvre d’un système de journalisation, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) relevait que " les journaux d’évènements constituent une brique technique indispensable à la gestion de la sécurité des systèmes d’information " dans la mesure où ils peuvent être utilisés " a priori pour détecter des incidents de sécurité " et a posteriori pour " comprendre le cheminement d’une attaque et […] évaluer son impact ". 
60. La formation restreinte note par ailleurs que les données contenues dans le serveur pouvaient facilement être lues puisqu’elles étaient conservées dans des formats lisibles au moyen d’un simple éditeur de texte ou d’outils disponibles et bien documentés sur Internet.
61. Ainsi, l’absence de mise en place de mesure de sécurité protégeant le serveur en cause, notamment de restriction des accès aux seules personnes qui auraient dues être autorisées, a provoqué l’accessibilité des données concernées depuis Internet et ces données étaient aisément lisibles en raison du format dans lequel elles étaient conservées. 
62. En troisième lieu, la formation restreinte estime que l’argument de la société, consistant à dire qu’elle ne serait pas responsable du manquement à ses obligations en matière de sécurité dans la mesure où l’erreur a été commise par […], ne saurait emporter la conviction. 
63. Tout d’abord, la formation restreinte relève que les défauts de sécurité ne résultent pas d’une erreur humaine isolée, mais d’insuffisances répétées, dès lors que la société aurait dû veiller à assurer la sécurité des données en cause à plusieurs étapes. À cet égard, lorsqu’elle a décidé de réutiliser les données pour son projet interne, il lui appartenait de vérifier que le serveur utilisé à ces fins n’était accessible que par les personnes autorisées. La même exigence de surveillance s’imposait a minima à la société lorsqu’elle a achevé son projet de recherche. Aussi, la société ne saurait rejeter la responsabilité de ces insuffisances répétées sur une erreur humaine isolée […] lequel, en tout état de cause, agissait en sa qualité de salarié sur les instructions de la société et pour son compte.
64. Ensuite, la sécurité d’un système d’information repose sur un ensemble de mesures, techniques et procédurales, et non sur la seule compétence des personnes […]. La mise en œuvre effective de ces mesures techniques et procédurales devant justement pallier les carences humaines. La société aurait ainsi dû prévoir des garde-fous complémentaires. La formation restreinte considère que cette situation reflète un problème organisationnel au sein de la société.
65. Dès lors, la formation restreinte considère que la société […] a méconnu son obligation résultant des dispositions de l’article 32 du Règlement.
- Sur la portée du manquement 
66. La société soutient que le manquement n’a pas causé de préjudice aux personnes concernées par la violation de données à caractère personnel, aucune de ces personnes ne lui ayant fait part d’une utilisation frauduleuse de ses données à caractère personnel. Elle explique avoir fait réaliser un audit par une société tierce, la société […], après la découverte de la vulnérabilité, lequel fait apparaître que les données présentes sur le serveur n’ont pas été exploitées par un attaquant.
67. S’agissant de la portée de ce manquement, la formation restreinte relève qu’il ressort du complément à la notification envoyé le 26 février 2020 aux services de la CNIL que la violation de données à caractère personnel a compromis les données à caractère personnel de 12 478 819 ressortissants européens.
68. La formation restreinte considère que l’absence de preuve d’une utilisation frauduleuse des données est sans incidence sur la caractérisation du manquement à l’obligation de sécurité. En effet, le risque d’utilisation frauduleuse des données à caractère personnel était réel, indépendamment des cas de fraude, dans la mesure où les données de nombreuses personnes ont été rendues accessibles à des tiers non autorisés. L’absence de dommage avéré pour les personnes concernées n’a pas d’incidence sur l’existence du défaut de sécurité, qui constitue le manquement à l’article 32 du RGPD.
69. La formation restreinte rappelle également que des données d’état civil (civilité, nom, prénom), des coordonnées postales, électroniques et téléphoniques, et des informations bancaires (BIC/IBAN) ont été compromises.
70. Elle souligne à cet égard qu’au regard de la nature de ces données à caractère personnel, les personnes concernées par la violation sont exposées au risque d’une réutilisation de leurs données à caractère personnel par des attaquants. En effet, elles encourent le risque que leurs données directement identifiantes fassent l’objet d’un accès illicite, revendues à des tiers et réutilisées dans d’autres schémas d’attaques, notamment l’hameçonnage (ou " phishing "), technique consistant à se faire passer pour un organisme officiel (organisme de sécurité sociale, banque, etc.) qui demande par exemple à sa " proie " de confirmer ses données bancaires. En outre, ces personnes sont particulièrement exposées à des risques d’usurpation d’identité.
b) Sur le grief d’insuffisance de la robustesse des mots de passe d’accès à l’interface utilisateur
71. La rapporteure relève que les mots de passe permettant aux marchands d’accéder à leur espace " client " sont conservés avec la fonction de hachage SHA-1 qui est obsolète. Elle note également que ces mots de passe peuvent n’être composés que d’un seul caractère, ce qui ne permet pas d’assurer la sécurité des données auxquelles ils donnent accès.
72. En défense, la société explique qu’une erreur s’est glissée dans les premières informations communiquées par […] lors du contrôle sur pièces. Elle indique que l’emploi de la fonction de hachage SHA-1 concerne uniquement l’ancienne interface utilisateur mise à disposition par […] et actuellement en cours de décommissionnement, et non l’interface actuelle. Elle précise que les accès à cette ancienne interface ont été révoqués et que seuls deux marchands utilisent encore cette solution bien que […] leur ait dûment notifié la nécessité de migrer dans les meilleurs délais vers la nouvelle solution. 
73. La société ajoute que la nouvelle solution utilise la fonction de hachage Bcrypt recommandée par la CNIL pour stocker les mots de passe sur une base de données dédiée. La dernière version de l’interface actuelle embarque une fonction dite " anti brute-force ", qui intègre une authentification multi-facteurs et impose de recourir à un mot de passe d’une longueur de 10 à 128 caractères, comprenant quatre typologies de caractères (majuscule, minuscule, chiffre et caractère spécial).
74. La formation restreinte relève d’abord que, dans ses observations en réponse au rapport de sanction, la société a transmis des informations différentes de celles communiquées lors du contrôle sur pièces s’agissant de la fonction de hachage utilisée pour le stockage des mots de passe permettant aux marchands d’accéder à leur espace " client ". La société a ainsi indiqué que l’utilisation de la fonction de hachage obsolète (SHA-1) concerne uniquement l’ancienne interface utilisateur, en cours de décommissionnement, et qui est utilisée par deux marchands. La formation restreinte relève ensuite que les deux marchands en question ont été mis en demeure de migrer dans les meilleurs délais vers la dernière version de l’interface, qui utilise une fonction de hachage satisfaisante. La formation restreinte observe enfin que les éléments du dossier ne permettent pas de remettre en cause les déclarations actuelles de la société.
75. La formation restreinte prend dès lors acte de ces déclarations et considère qu’il n’y a pas lieu de retenir de manquement relatif à l’obligation de sécurité en raison d’une robustesse insuffisante des mots de passe d’accès à l’interface utilisateur, permettant aux marchands d’accéder aux données à caractère personnel se rapportant à leur compte. 
3. Sur le manquement à l’obligation de communication aux personnes concernées d’une violation de données à caractère personnel
76. Aux termes de l’article 34 du RGPD, " 1. Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais.
2. La communication à la personne concernée visée au paragraphe 1 du présent article décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et mesures visées à l'article 33, paragraphe 3, points b), c) et d).
3. La communication à la personne concernée visée au paragraphe 1 n'est pas nécessaire si l'une ou l'autre des conditions suivantes est remplie :
a) le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement ;
b) le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées visé au paragraphe 1 n'est plus susceptible de se matérialiser ;
c) elle exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace. […] ".
77. Le considérant 86 du RGPD prévoit que, lorsque la violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés de la personne physique, le responsable du traitement devrait la communiquer à la personne concernée dans les meilleurs délais afin qu’elle puisse prendre les précautions qui s’imposent.
78. En l’espèce, la rapporteure relève qu’à la suite de la violation de données, la société […] , qui dispose d’une " procédure de traitement des violations de données personnelles ", a considéré que le risque lié à celle-ci n’était pas élevé pour les personnes concernées et qu’elle ne devait par conséquent pas les informer.
79. La rapporteure considère toutefois qu’au regard de la nature des données à caractère personnel, du volume de personnes concernées, de la facilité d’identifier les personnes touchées par la violation et des conséquences possibles pour les personnes concernées, le risque associé à la violation peut être considéré comme élevé et qu’une communication aux personnes concernées aurait dû être faite.
80. En défense, la société […] indique qu’elle a informé à bref délai les marchands pour le compte desquels elle avait collecté les données objet de la violation de données, et qu’ils ont ainsi été mis en mesure, en leur qualité de responsables de traitement, d’informer les personnes concernées s’ils l’estimaient nécessaire. 
81. La société précise en outre que, quand bien même le traitement mené à des fins d’amélioration de la lutte contre la fraude était mis en œuvre par […] en qualité de responsable de traitement, les données sur la base desquelles le traitement a été réalisé ont été initialement collectées et traitées par […] en qualité de sous-traitant pour le compte de ces marchands. Il n’était donc pas possible selon elle d’informer les débiteurs concernés directement sans l’accord de ces marchands. 
82. La société considère en tout état de cause que le format des données et les circonstances entourant la violation de données l’ont amenée à conclure à l’absence de risque élevé pour les personnes concernées au sens de l’article 34 du RGPD, au regard des éléments suivants : 
- le format des données ne permettait pas d’appréhender directement la nature, ni le contenu des données ; 
- aucune divulgation des données imputable à […] n’a été établie ;
- aucune usurpation ou tentative d’usurpation d’identité n’a été rapportée par un débiteur auprès de […] ; 
- la nature des données ne permettait pas de conclure à un risque élevé de fraude financière ;
- le risque pour une personne concernée paraissait inopérant dans la mesure où tout débiteur dispose de la faculté de s’opposer à un prélèvement indu sans justification pendant huit semaines et jusqu’à treize mois après la transaction avec une justification.
83. La société rappelle en outre qu’elle ne disposait pas de l’ensemble des adresses de messagerie des personnes concernées. Elle en conclut donc que l’information individuelle des débiteurs se serait révélée impossible pour une large partie d’entre eux. Elle considère par ailleurs qu’une communication publique n’aurait pas été pertinente dans la mesure où ses services étant offerts à des clients professionnels, la majorité des débiteurs concernés n’auraient pas été en mesure de déterminer si leurs données avaient ou non été traitées par elle, intervenant de manière non visible en qualité de prestataire de services de paiement.
84. En premier lieu, la formation restreinte considère que l’argument invoqué par […] pour s’affranchir de sa responsabilité, selon lequel les données sur la base desquelles le traitement a été réalisé ont été initialement collectées et traitées par […] en qualité de sous-traitant pour le compte des marchands, ne saurait emporter la conviction. Le fait que les données en question aient été initialement traitées pour une autre finalité pour laquelle la société agit en tant que sous-traitant est sans incidence sur son obligation au titre de l’article 34 du RGPD dans la mesure où elle a réutilisé ces données pour son propre compte, en tant que responsable de traitement.
85. En deuxième lieu, la formation restreinte considère qu’au regard de la nature des données à caractère personnel (comportant notamment des informations bancaires), du volume de personnes concernées (plus de 12 millions), de la facilité d’identifier les personnes touchées par la violation à partir des données accessibles et des conséquences possibles pour les personnes concernées (risques d’hameçonnage ou d’usurpation d’identité), le risque associé à la violation devait être considéré comme élevé.
86. En troisième lieu, la formation restreinte relève que l’article 34-3 du RGPD prévoit que la communication aux personnes concernées n’est pas nécessaire dans certains cas, notamment si le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées, s’il a pris des mesures ultérieures qui garantissent que le risque élevé pour les personnes n’est plus susceptible de se matérialiser ou si elle exigerait des efforts disproportionnés. La formation restreinte considère que la société ne saurait se prévaloir de ces dispositions dans la mesure où elle n’a pas mis en œuvre de mesures de protection appropriées pour assurer la sécurité des données affectées par la violation (afin de limiter leur accès aux seules personnes autorisées). En outre, si la société a fermé le serveur concerné, les données sont restées accessibles entre novembre 2015 et février 2020, soit pendant une très longue période. 
87. S’agissant ensuite de l’argument de la société selon lequel l’information individuelle de l’ensemble des débiteurs aurait nécessité des efforts disproportionnés, la formation restreinte relève que la société disposait de 6 250 310 adresses de messagerie électronique, soit environ de la moitié des personnes concernées. Elle aurait donc à tout le moins pu informer ces personnes de la violation de données, sans que cela représente un effort disproportionné.
88. S’agissant de l’argument de la société selon lequel une communication publique sur son site web n’aurait pas été pertinente puisque la majorité des débiteurs concernés n’auraient pas été en mesure de déterminer s’ils avaient eu ou non recours aux services de […] , qui intervient de manière opaque en qualité de prestataire de services de paiement, la formation restreinte relève tout d’abord que le site web de la société comporte les noms de certains de ses clients et que les débiteurs de ces marchands auraient ainsi pu être en mesure de savoir que leurs données étaient potentiellement traitées par […] et possiblement concernées par la violation. À cet égard, elle rappelle que toute personne physique peut exercer ses droits prévus par le RGPD auprès de toute société et ainsi obtenir des informations sur la question de savoir si ses données sont ou non traitées par ladite société. En cas de communication publique, les personnes qui le souhaitent auraient donc pu contacter la société afin de savoir si elles étaient concernées par la violation de données. Ensuite, la formation restreinte observe que l’information relative à une violation de données de cette ampleur peut être reprise sur le web (réseaux sociaux, journaux et sites spécialisés, etc.). Une communication publique sur le site web de l’organisme peut ainsi être un point de départ et l’information peut prendre ensuite une dimension bien plus importante.
89. Compte tenu de ces éléments, la formation restreinte considère que la société a méconnu ses obligations au titre de l’article 34 du RGPD, relatif à la communication aux personnes concernées d’une violation de données à caractère personnel.
III. Sur les mesures correctrices et leur publicité
90. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée, " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
7° A l'exception des cas où le traitement est mis en œuvre par l'Etat, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
91. L’article 83 du RGPD prévoit que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.