AgentPublic/cnil huggingface dataset:
38. En défense, la société ne conteste pas les manquements, mais déclare avoir pris des actions correctives. Tout d’abord, elle annonce avoir adapté sa politique de mots de passe afin d’atteindre le taux d’entropie minimal de 50 bits recommandé par la CNIL lorsque ce mot de passe est accompagné d’une mesure de restriction d’accès et indique que la mise en place de ces nouvelles mesures a été finalisée en août 2023. Elle reproche en outre au rapporteur de s’appuyer sur des vérifications informelles qui lui auraient permis de constater une entropie toujours insuffisante à la date de l’envoi du rapport. Ensuite, la société précise que l’accès à des mots de passe en clair était dû à des contraintes techniques liées à la mise en œuvre de mesures de chiffrement des mots de passe d’anciens comptes créés au début de son activité et qu’au jour de ses observations en défense, tous les mots de passe sont chiffrés au sein de la base de données. Enfin, la société prend acte des conclusions du rapporteur concernant l’utilisation de l’algorithme de hachage SHA-1 et annonce avoir opté pour un basculement vers la norme SHA-512, effectif depuis le mois de juillet 2023.
39. En premier lieu, la formation restreinte rappelle qu’il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement est tenu de s’assurer que le traitement automatisé de données qu’il met en œuvre est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit, d’autre part, en tenant compte de l’état de connaissances et du coût des mesures.
40. La formation restreinte considère tout d’abord que des règles de complexité des mots de passe trop permissives, qui autorisent l’utilisation de mots de passe insuffisamment robustes, peuvent conduire à des attaques par des tiers non autorisés, telles que des attaques par " force brute " ou " par dictionnaire ", qui consistent à tester successivement et de façon systématique de nombreux mots de passe et conduisent, ainsi, à une compromission des comptes associés et des données à caractère personnel qu’ils contiennent.
41. Elle relève, à cet égard, que la nécessité d’un mot de passe fort est recommandée tant par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) que par la Commission dans sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, exigence confirmée dans sa délibération n° 2022-100 du 21 juillet 2022.
42. A titre d’illustration, le rapporteur rappelle que la Commission considère dans sa délibération n° 2017-012 du 19 janvier 2017 – qui n’a certes pas un caractère impératif mais qui fournit un éclairage pertinent sur les mesures qu’il convient de prendre en matière de sécurité – que, pour assurer un niveau de sécurité et de confidentialité suffisant, dans l’hypothèse où l’authentification repose uniquement sur un identifiant et un mot de passe, ce dernier doit être composé d'au minimum douze caractères comprenant des majuscules, des minuscules, des chiffres et des caractères spéciaux.
43. À défaut, la Commission considère que permet également d’assurer un niveau de sécurité et de confidentialité suffisant une authentification reposant sur un mot de passe d’une longueur minimum de huit caractères, composé de trois catégories de caractères différentes mais accompagnée d’une mesure complémentaire comme, par exemple, la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : " captcha ") et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses (au maximum dix).
44. La formation restreinte souligne qu’elle a, à plusieurs reprises, adopté des sanctions pécuniaires où la caractérisation d’un manquement à l’article 32 du RGPD est le résultat de mesures insuffisantes pour garantir la sécurité des données traitées. Les délibérations n° SAN-2019-006 du 13 juin 2019, n° SAN-2019-007 du 18 juillet 2019 et n° SAN-2022-018 du 8 septembre 2022 visent notamment l’insuffisante robustesse des mots de passe.
45. Ensuite, la formation restreinte rappelle que la conservation des mots de passe de manière sécurisée constitue une précaution élémentaire en matière de protection des données à caractère personnel. Dès 2013, l’ANSSI alertait et rappelait les bonnes pratiques s’agissant de la conservation des mots de passe en indiquant qu’ils doivent " être stockés sous une forme transformée par une fonction cryptographique à sens unique (fonction de hachage) et lente à calculer telle que PBKDF2 " et que " la transformation des mots de passe doit faire intervenir un sel aléatoire pour empêcher une attaque par tables précalculées " (ANSSI, " Bulletin d’actualité CERTA-2013-ACT-046 ", 15 novembre 2013, https://www.cert.ssi.gouv.fr/actualite/CERTA-2013-ACT-046/).
46. De même, dans sa délibération n° 2017-012 du 19 janvier 2017, la CNIL indiquait déjà qu’elle " recommande [que le mot de passe] soit transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé ". En effet, les fonctions de hachage non robustes présentent des vulnérabilités connues qui ne permettent pas de garantir l’intégrité et la confidentialité des mots de passe en cas d’attaque par force brute après compromission des serveurs qui les hébergent.
47. La formation restreinte relève qu’en l’espèce, les mots de passe des utilisateurs du site web www.[...].com devaient être, à l’époque des contrôles, composés de six caractères de trois sortes et dépourvus de mesure de sécurité complémentaire.
48. Elle considère qu’une telle construction ne permettait pas d’assurer la sécurité des données et d’empêcher que des tiers non autorisés y aient accès. La formation restreinte rappelle que, comme l’a souligné le rapporteur, la société traitait au jour du contrôle sur place les données de près de 700 000 comptes utilisateurs, telles que les nom, prénom, date de naissance et adresse courriel, adresse postale, numéro de téléphone, mais également des coordonnées bancaires (lorsque l’utilisateur décide d’y adosser un porte-monnaie électronique) ou encore des justificatifs d’identité et de domicile (lorsqu’un règlement excède un certain montant). Or, une authentification reposant sur l’utilisation d’un tel mot de passe, court et dépourvu de mesure de sécurité complémentaire, peut conduire à des attaques par des tiers non autorisés et ainsi à une compromission des comptes utilisateurs et des nombreuses données à caractère personnel qu’ils contiennent.
49. En conséquence, la formation restreinte considère que la politique de mots de passe déployée n’était pas suffisamment robuste pour garantir la sécurité des données traitées, ce qui méconnaît l’article 32 du RGPD.
50. En deuxième lieu, la formation restreinte relève que la conservation en clair des mots de passe d’utilisateurs, associés à leurs identifiants et à leur adresse courriel, ne permet pas de garantir leur sécurité. Cette modalité de conservation implique que toute personne ayant accès à la base de données des clients de la société peut les consulter et les collecter. Ces mots de passe des utilisateurs, associés à leurs identifiants, permettent d’accéder à toutes les données à caractère personnel contenues dans leurs comptes [...], voire à d’autres comptes de services, les mêmes identifiants et mots de passe étant, comme l’a souligné le rapporteur, souvent utilisés pour accéder à plusieurs services.
51. Dans ces conditions, la formation restreinte considère que les modalités de stockage des mots de passe ne permettaient pas, au jour des constats, de garantir la sécurité et la confidentialité des données à caractère personnel des détenteurs de comptes [...], ce qui méconnaît l’article 32 du RGPD.
52. En troisième lieu, la formation restreinte rappelle que le recours à la fonction SHA-1 pour le hachage des mots de passe n’est plus considéré comme conforme à l’état de l’art, ainsi qu’il ressort en particulier du guide de sélection d'algorithmes cryptographiques édité par l’ANSSI, en date du 8 mars 2021, qui indique que celle-ci est " proscrite pour une utilisation générale ". La formation restreinte relève en outre qu’en l’état actuel de la technique, la CNIL a établi des recommandations spécifiques dans son guide au profit des développeurs, en recommandant de stocker les mots de passe " sous forme de hachage (hash) au moyen d’une librairie éprouvée, comme Argon2, yescrypt, scrypt, balloon, bcrypt et, dans une moindre mesure, PBKDF2 "( https://lincnil.github.io/Guide-RGPD-du-developpeur/).
53. En conséquence, la formation restreinte considère que les faits précités, non contestés par la société, constituent des manquements aux obligations de l’article 32 du RGPD. Elle prend acte de ce que depuis les contrôles, la société a remédié aux manquements constatés en mettant en place une politique de mots de passe présentant un niveau de sécurité adéquat, en chiffrant l’ensemble des mots de passe et en justifiant de la mise en œuvre d’un système de hachage satisfaisant desdits mots de passe, en SHA-512.
2. Sur le partage de l’accès à la base de données clients
54. Le rapporteur relève que, lors du contrôle sur place, la délégation a été informée que le compte utilisé pour l’accès à la base de données clients était partagé par l’équipe de développement.
55. En défense, la société conteste l’existence du manquement. Elle fait valoir que seul un salarié dispose d’un accès restreint à la base de données pour réaliser ses missions en tant que développeur, et qu’une seconde personne est habilitée à accéder à cette base dans le cadre de sa mission d’administrateur de base de données. Elle précise que la procédure de connexion s’effectue par bastion, c’est-à-dire via un serveur de connexion intermédiaire qui permet ensuite d’accéder à la base, et que seul l’accès au bastion est partagé. Une fois connecté au bastion, la connexion à la base de données serait permise par un identifiant et un mot de passe complexe de seize caractères : la société indique que l’administrateur de la base et le développeur disposent d’identifiants et de mots de passe distincts pour se connecter à la base de données et que la connexion est filtrée par adresse IP, ce qui permettrait de préserver la traçabilité des accès à la base.
56. La formation restreinte relève qu’il ressort des explications fournies par la société que l’équipe de développement est composée d’un seul salarié et que, dès lors, seules deux personnes sont habilitées à accéder à la base de données clients à savoir, d’une part, l’administrateur de la base et, d’autre part, le développeur qui dispose d’un accès restreint à cette base. La formation restreinte note également que le développeur, comme l’administrateur, disposent d’un compte d’accès individuel à cette base.
57. En conséquence, la formation restreinte considère que le manquement n’est pas constitué.
E. Sur le manquement aux obligations de l’article 82 de la loi Informatique et Libertés
58. L’article 82 de la loi Informatique et Libertés dispose que : " tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l’utilisateur ".
59. Ces dispositions transposent en droit français l’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (dite " directive e-Privacy ").
1. Sur le dépôt de cookies Google Analytics sur le terminal de l’utilisateur sans recueil de son consentement
60. Le rapporteur relève que lors du contrôle en ligne, la délégation a constaté le dépôt de treize cookies avant toute action de l’utilisateur dès son arrivée sur la page d’accueil du site web www.[...].com, au nombre desquels figurent des cookies de mesure d’audience de Google Analytics, qui auraient dû être soumis au consentement préalable de l’utilisateur.
61. En défense, la société a d’abord soutenu lors de l’instruction que le cookie Google Analytics était un outil de mesure d’audience à usage interne exempté du recueil du consentement, avant de reconnaître les faits dans ses observations en défense et d’annoncer ne plus utiliser cet outil. Elle communique une pièce attestant de ce qu’à la date du 16 août 2023, les cookies Google Analytics ne sont plus déposés sur le terminal des utilisateurs du site et de l’application [...].
62. La formation restreinte rappelle que l’article 82 de loi Informatique et Libertés prévoit que les opérations d’accès ou d’inscription d’informations dans le terminal d’un utilisateur ne peuvent avoir lieu qu’après que ce dernier a exprimé son consentement, seuls les cookies ayant pour finalité exclusive de permettre ou de faciliter la communication par voie électronique ou ceux strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur étant exemptés de cette obligation.
63. La formation restreinte considère qu’il ressort de la documentation mise en ligne par la société GOOGLE que, d’une part, en fonction du paramétrage retenu par l’éditeur du site concerné, les cookies Google Analytics peuvent comporter des fonctionnalités publicitaires et que, d’autre part, quel que soit le paramétrage retenu concernant les fonctionnalités publicitaires précitées, les données collectées via les cookies Google Analytics peuvent être réutilisées pour maintenir et protéger le service Analytics.
64. Partant, la formation restreinte considère que le dépôt de ces cookies est soumis au recueil préalable du consentement de l’utilisateur, dès lors qu’ils n’ont pas pour finalité exclusive de permettre ou de faciliter la communication par voie électronique et ne sont pas non plus strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur.
65. En conséquence, la formation restreinte considère qu’en permettant le dépôt et la lecture du cookie Google Analytics sur le terminal des personnes lors de leur arrivée sur le site web www.[...].com, sans recueillir préalablement leur consentement, la société a privé celles-ci de la possibilité, qui leur est accordée par l’article 82 de la loi Informatique et Libertés, d’exercer un choix quant au dépôt de traceurs sur leur équipement terminal.
66. La formation restreinte relève que la société a démontré au cours de la procédure, que depuis le 16 août 2023, plus aucun cookie Google Analytics n’est déposé sur le terminal des utilisateurs. Elle rappelle néanmoins que les mesures de mises en conformité adoptées ne sauraient exonérer la société de sa responsabilité pour le passé.
2. Sur l’utilisation du mécanisme de reCaptcha Google sans recueil du consentement de l’utilisateur
67. Le rapporteur relève que la société utilisait le module Google reCaptcha, dans le but de bloquer les robots sur la page d’inscription et de connexion au site web et à l’application mobile [...]. Il considère que l’utilisation de module sans recueil préalable du consentement de l’utilisateur est contraire à l’article 82 de la loi Informatique et Libertés, dans la mesure où il ne relève d’aucune des exemptions prévues par cet article.
68. En défense, la société ne conteste pas les faits décrits par le rapporteur, mais indique avoir remédié aux carences constatées dans le rapport, en soumettant l’utilisation du reCaptcha au consentement préalable de l’utilisateur et en ne déposant aucun cookie ou traceur sur son terminal en cas de refus. La société ajoute que le reCaptcha de GOOGLE a été définitivement remplacé par une autre solution à la fin du mois d’octobre 2023. Elle estime toutefois qu’au vu de l’information peu lisible et peu accessible fournie par la société GOOGLE s’agissant des conséquences liées à l’utilisation du service reCaptcha, il serait inéquitable de faire peser des manquements à l’article 82 de la loi Informatique et Libertés sur ses entreprises clientes, sans tenir compte du manque de transparence et d’accessibilité des informations contractuelles fournies par la société GOOGLE, déjà condamnée par la CNIL pour ces motifs (CNIL n°SAN-2019-001 du 21 janvier 2019 et n°SAN-2021-023 du 31 décembre 2021). En conséquence, elle sollicite une révision à la baisse du montant d’amende proposé.
69. En l’espèce, la formation restreinte constate qu’un mécanisme de reCaptcha, fourni par la société GOOGLE, est utilisé lors de la création d’un compte et de la connexion au site web et à l’application mobile [...]. Elle considère que c’est bien l’éditeur du site - en l’espèce X - qui a choisi de recourir au mécanisme de reCaptcha et a donc permis les actions de lecture et d’écriture des informations présentes sur les terminaux des utilisateurs.
70. Au regard de ces éléments, la formation restreinte considère que la société n’est pas fondée à soutenir qu’il serait inéquitable de faire peser sur les entreprises clientes de GOOGLE, dont elle fait partie, des manquements à l’article 82 de la loi Informatique et Libertés, en invoquant le manque de transparence et d’accessibilité des conditions contractuelles de GOOGLE. En effet, la formation restreinte considère qu’en sa qualité d’entreprise utilisatrice du service de reCaptcha de Google, la société est également responsable du respect des dispositions de la loi Informatique et Libertés lors de l’utilisation de ce mécanisme.
71. En second lieu, la formation restreinte considère que si un responsable de traitement peut se prévaloir d’une exemption à l’information et au recueil du consentement lorsque les opérations de lecture/écriture effectuées dans le terminal d’un utilisateur ont pour seule finalité la sécurisation d’un mécanisme d’authentification au bénéfice des utilisateurs (v. en ce sens, CNIL, FR, Délibération n° SAN-2021-013, précitée), il en va autrement lorsque ces opérations poursuivent également d’autres finalités qui ne sont pas strictement nécessaires à la fourniture d’un service. Or, le mécanisme de reCaptcha Google n’a pas pour seule finalité la sécurisation du mécanisme d’authentification au bénéfice des utilisateurs mais permet par ailleurs des opérations d’analyse de la part de Google, ce que la société GOOGLE précise elle-même dans ses conditions générales d’utilisation.
72. La formation restreinte relève que la société GOOGLE informe les sociétés ayant recours à la technologie reCaptcha, dans des conditions générales d’utilisation disponibles en ligne, que le fonctionnement de l’API reCAPTCHA repose sur la collecte d’informations matérielles et logicielles (telles que les données sur les appareils et les applications) et que ces données sont transmises à Google pour analyse. La société GOOGLE précise également qu’il incombe à ces sociétés d’informer les utilisateurs et de demander leur autorisation pour la collecte et le partage des données avec GOOGLE.
73. Il ressort de ces éléments que la société X aurait dû recueillir le consentement des utilisateurs à l’utilisation du reCaptcha, ce qui n’était pas le cas en l’espèce. 
74. Au vu de ce qui précède, la formation restreinte considère qu’en recourant au mécanisme de reCaptcha fourni par la société GOOGLE sans recueillir leur consentement, la société a méconnu les dispositions de l’article 82 de la loi Informatique et Libertés. La formation restreinte prend note, ainsi que cela a été confirmé lors de l’audience, que la société X n’utilise plus cette technologie depuis la fin du mois d’octobre 2023. Cependant, à la date des contrôles, ce mécanisme était bien utilisé, sans consentement préalable des utilisateurs.
III. Sur les mesures correctrices et leur publicité
75. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
76. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées […] soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
A. Sur le prononcé d’une amende administrative et son montant
1. Sur le prononcé d’une amende administrative
77. En défense, la société considère que l’amende administrative proposée est disproportionnée par rapport aux manquement allégués et à sa conduite puisqu’elle a mis en œuvre plusieurs mesures correctives, en particulier, l’application effective de sa politique de conservation des données de comptes utilisateurs, la mise en place d’une politique de mot de passe présentant un niveau de sécurité adéquat, l’utilisation d’un algorithme de hachage de mot de passe conforme à l’état de l’art et le recueil du consentement au dépôt de cookies et traceurs lorsqu’il est requis. S’agissant de ce dernier manquement, elle estime inéquitable de rechercher la responsabilité des seuls éditeurs lorsqu’en réalité, la politique répressive de la CNIL cherche à faire obstacle à l’utilisation de certains outils tels que ceux proposés par la société GOOGLE. En outre, elle souligne avoir pleinement coopéré avec les services de la CNIL. Enfin, elle considère que l’amende de 200 000 euros proposée par le rapporteur équivaut à 1,8 % de son chiffre d’affaires 2020 et est par conséquent excessive.
78. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes affectées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle et dans certain cas, le niveau de dommage subi par les personnes.
79. La formation restreinte relève d’abord que les manquements reprochés à la société portent atteinte à des principes fondamentaux prévus par le RGPD et concernent de nombreuses personnes.