AgentPublic/cnil huggingface dataset:
S’agissant du laboratoire […], le procès-verbal de contrôle sur place mentionne que celui-ci a sollicité, " selon les préconisations de […] ", la migration de données de la solution […] (également appelée […]) vers la solution […] pour les patients ayant procédé à une analyse médicale après le 7 mai 2017. Or, les données extraites par la société […] pour cette migration comportaient 8 403 lignes relatives à des patients dont la date de dernière visite était antérieure au 7 mai 2017, ce qui représente 6,5 % de la volumétrie totale.
S’agissant du laboratoire […], la formation restreinte relève que, dans le cadre d’un changement de logiciel, le laboratoire a demandé à la société […] de procéder à une extraction de la base des données de patients contenues dans le logiciel […] afin de migrer vers un autre logiciel édité et maintenu par une société tierce. À cette fin, la société […] a fourni à la société […] une liste des champs à extraire afin d’être importés dans la nouvelle solution logicielle. Les colonnes " commentaire P " (contenant des informations telles que " STERILITE 100 % ", etc.) et " commentaire D " (contenant des informations telles que " TUBERCULOSE OSSEUSE SOUS RIFATER ", " XARELTO " (médicament), " DIABETE ", etc.) ont également été extraites, alors pourtant qu’elles ne figuraient pas dans la liste des champs à extraire.
Ainsi, la formation restreinte en conclut que les données extraites par la société […], incluant notamment les colonnes " commentaire P " et " commentaire D " qui n’auraient pas dû l’être, couvrent un champ plus large que la demande du responsable de traitement.
En deuxième lieu, la formation restreinte relève que, s’agissant de la validation des extractions par les laboratoires concernés, la société produit uniquement deux documents intitulés " tickets SAV " à l’appui de ses déclarations, lesquels ne sauraient en réalité suffire à démontrer qu’elle a effectué les opérations d’extraction conformément aux instructions des laboratoires et que les laboratoires ont validé le contenu des extractions réalisées. Ces " tickets SAV " permettent seulement de rendre compte de démarches effectuées par la société […] auprès de deux laboratoires pour envoyer des fichiers avec des extractions et ne démontrent en rien une validation qui aurait été donnée par les laboratoires concernés.
La formation restreinte relève en outre que la société prétend, s’agissant de […], avoir eu " un " retour d’email " confirmant la conformité dudit fichier aux instructions du laboratoire ". Cette affirmation est inexacte puisque, d’après le " ticket SAV ", le " retour de mail " émane de la société […], société tierce éditant et maintenant un autre logiciel vers lequel les données extraites devaient être migrées. Ainsi, ce courriel ne saurait valoir validation de l’extraction par le client, dans la mesure où la société […] est une société tierce.
En troisième lieu, la formation restreinte considère que la société ne saurait se prévaloir d’un outil inadapté pour justifier d’avoir outrepassé les instructions des responsables de traitement. Elle aurait pu, par exemple, opter pour un autre outil lui permettant de respecter les instructions données par ses clients, comme elle indique le faire désormais, ou a minima supprimer toutes les données qui n’auraient pas dû être extraites.
Compte tenu de ces éléments, la formation restreinte considère que la société […] a traité des données au-delà des instructions données par les responsables de traitement, ce qui constitue un manquement à l’article 29 du RGPD.
3. Sur le manquement à l’obligation d’assurer la sécurité des données
Aux termes de l’article 32 du RGPD, " 1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
a) la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
2. Lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite […] ".
52. Le rapporteur relève que, dès mars 2020, un ancien salarié de la société […] avait fait remonter à son employeur des problèmes de sécurité. Selon le rapporteur, il est établi que celui-ci avait bel et bien effectué des signalements pertinents, ce qui ressort d’échanges internes entre […].
Le rapporteur note ensuite que, le 4 novembre 2020, l’Agence nationale de la sécurité des systèmes d’information (ci-après " l’ANSSI ") a observé que des données de patients du laboratoire […] étaient mises en vente sur le darknet, sous-réseau d’Internet pourvu de fonctions d’anonymisation et dans lequel toutes les ressources ne sont pas nécessairement indexées par les moteurs de recherche. L’ANSSI a transmis au laboratoire concerné un fichier contenant 56 lignes avec des données à caractère personnel de ses patients. Le jour même, le fichier ainsi que le courriel de l’ANSSI ont été transmis à la société […] par le directeur des systèmes d’information du réseau […], au sein duquel figure le laboratoire […].
Le rapporteur relève ensuite que, le 23 février 2021, les informations confidentielles de près de 500 000 patients ont été diffusées sur Internet. Dès le 24 février 2021, la société […] a mandaté la société […] pour mener une mission d’analyse forensique. Ladite société a rendu son rapport d’investigation le 26 mars 2021.
Le rapporteur note en outre qu’aux termes de ses investigations, la société […] a établi une correspondance entre les données du fichier transmis par l’ANSSI et les données présentes sur un serveur FTP hébergé sur le serveur de télémaintenance […] ([…]). Environ 90 % des données à caractère personnel du fichier objet de la violation, publié sur Internet en février 2021, étaient présentes sur le serveur FTP […] ([…]).
Selon le rapporteur, de nombreux manquements techniques et organisationnels en matière de sécurité ont été constatés lors des contrôles de la CNIL et peuvent être retenus à l’encontre la société […]. Il note notamment l’absence de procédure spécifique s’agissant des opérations de migration de données, l’absence de chiffrement des données à caractère personnel stockées sur le serveur FTP […], l’absence d’effacement automatique des données après migration vers un autre logiciel, l’absence d’authentification requise depuis Internet pour accéder à la zone publique du serveur FTP […], l’utilisation de comptes utilisateurs partagés entre plusieurs salariés s’agissant de la zone privée de ce même serveur et l’absence de procédure de supervision et de remontée d’alertes de sécurité sur le serveur.
Le rapporteur en conclut que, malgré des alertes préalables, la société […] n’a pas mis en œuvre de mesures satisfaisantes de sécurité pour encadrer le serveur FTP […], ce qui a non seulement permis l’accès aux données concernées par des tiers non autorisés, mais également la divulgation sur des forums d’un fichier contenant les données médico-administratives de près de 500 000 personnes.
En défense, la société relève, s’agissant de la violation de données ayant eu lieu en février 2021, que les investigations effectuées par la société […] ont conclu à l’existence d’intrusions sur le serveur FTP de […]. Elle précise cependant que, bien que le rapport relève que 90 % du contenu du fichier circulant sur Internet était également disponible sur le serveur FTP, il convient de noter que, a contrario, le rapport de […] précisait qu’environ 10 % du fichier circulant sur Internet (soit environ 43 000 enregistrements) ne se trouvait pas sur le serveur FTP et qu’environ 50 % des données du serveur FTP ne se trouvaient pas dans le fichier circulant sur Internet. La société […] en conclut qu’ " au regard des incohérences subsistantes entre les données présentes sur le serveur FTP et celles ayant circulé sur Internet, les investigations combinées de […] et de […], qui se sont achevées le 26 mars 2021, n’ont pas permis à l’époque des faits de conclure avec certitude que lesdites intrusions seraient à l’origine de la cyberattaque reportée par la presse ". Enfin, la société fait état des différentes mesures de sécurité mises en place depuis lors.
Dans ses dernières observations en réponse, la société indique qu’elle n’entend pas contredire les constats faits par le rapporteur sur l’absence de mesures satisfaisantes de sécurité encadrant le serveur FTP […] et précise avoir conscience des défauts de l’ancienne technologie utilisée par ses équipes, mais fait à nouveau valoir les évolutions intervenues en matière de sécurité et ses importants efforts de mise en conformité.
En premier lieu, la formation restreinte relève qu’il ressort des constations effectuées par la CNIL que la société ne disposait pas de procédure spécifique établie s’agissant des opérations de migration de données. Aucune mesure de sécurité n’était notamment prévue pour l’envoi des données, pourtant sensibles au sens de l’article 9 du RGPD. Les fichiers d’extractions de données étaient donc envoyés " en clair " (c’est-à-dire lisibles directement, car non transformées préalablement via une fonction de hachage), sans aucune mesure de chiffrement ou de sécurité. Or, pour assurer la sécurité des opérations de migration d’un nombre aussi important de données à caractère personnel sensibles, il convient de mettre en place des procédures spécifiques permettant de décrire étape par étape l’enchaînement des tâches à réaliser, les rôles et les responsabilités associées. De telles procédures permettent également de disposer d’un compte rendu détaillé des opérations pour les laboratoires ou clients dont les données ont été traitées et transmises. L’absence de telles procédures fait peser sur les données à caractère personnel concernées un risque de compromission pourtant facilement évitable, qui peut conduire à exposer des données relevant de la vie privée.
En deuxième lieu, la formation restreinte relève que plusieurs alertes successives auraient dû conduire la société à effectuer des investigations sur son système de sécurité. Si, s’agissant du signalement réalisé par l’ANSSI en novembre 2020, la société indique avoir entrepris des investigations internes pour identifier la source possible de compromission et avoir mis en œuvre plusieurs actions correctives et préventives, elle n’a pas effectué de diligences suffisantes afin d’identifier si les données d’autres laboratoires avaient pu être compromises et si des vulnérabilités existantes étaient à l’origine de la compromission. La formation restreinte considère que la société n’a pas pris la mesure des problèmes de sécurité qu’elle rencontrait à l’époque, lesquels ont fini par aboutir à la violation de données de février 2021 ayant concerné près de 500 000 personnes.
En troisième lieu, la formation restreinte note que plusieurs mesures de sécurité élémentaires en matière de sécurité faisaient défaut en l’espèce. La formation restreinte note d’abord que les données à caractère personnel stockées sur le serveur FTP […] n’étaient pas chiffrées et étaient donc directement lisibles, alors qu’il s’agit de données sensibles qui, de par leur nature, nécessitent des mesures de sécurité particulières.
En outre, dans le cadre des migrations du logiciel […] vers un autre logiciel, les données, une fois transférées sur le serveur, n’étaient pas effacées automatiquement. Or, la conservation des données fait encourir un risque de fuite ou de compromission desdites données.
La formation restreinte relève ensuite que la zone publique du serveur, dans laquelle certaines données des laboratoires ont été stockées aux fins de migration, était accessible librement sans authentification depuis Internet. Ce n’est que le 4 novembre 2020, date à laquelle l’incident de sécurité a été signalé par l’ANSSI, que l’accès " anonyme " sans authentification au serveur FTP a été coupé et, le 23 février 2021 seulement, que ce serveur a été définitivement mis hors ligne. En outre, la zone privée du serveur était accessible avec des comptes utilisateurs partagés entre plusieurs salariés. Or, l’utilisation de comptes partagés fait peser un risque disproportionné, pourtant facilement évitable, sur la sécurité du traitement et augmente considérablement les risques de compromission, notamment du fait de la circulation du mot de passe entre plusieurs personnes. En outre, les comptes communs (ou partagés) ne permettent pas une bonne application de la politique d’habilitation, qui est pourtant un élément fondamental de la sécurité des systèmes d’information, visant à limiter les accès aux seules données dont un utilisateur a besoin.
La formation restreinte souligne enfin qu’aucune procédure de supervision et de remontée d’alertes de sécurité n’était mise en œuvre sur le serveur FTP. Les connexions provenant d’adresses IP suspectes n’étaient donc ni détectées ni traitées. Le rapport d’investigation numérique de la société […] confirme d’ailleurs que certaines connexions suspectes ont été identifiées, ce qui confirme que le serveur était exposé sur Internet et que des connexions non autorisées à ce serveur ont eu lieu, sans qu’elles puissent être identifiées grâce à ces procédures de supervision et de remontée d’alertes.
En dernier lieu, la formation restreinte relève que le manquement reproché n’est pas constitué par les violations de données en tant que telles, mais par les défauts de sécurité qui sont à l’origine de l’intrusion sur les serveurs de la société, constatés lors des contrôles effectués par la CNIL. Elle souligne que cette proposition du rapporteur, visant à sanctionner les défauts de sécurité à l’origine de violations, s’inscrit dans la lignée de décisions précédentes de la formation restreinte. Ainsi, dans sa délibération n° SAN 2019-007 du 18 juillet 2019, la formation restreinte a relevé " que les mesures élémentaires de sécurité n’avaient pas été prises en amont du développement de son site web [par la société sanctionnée], ce qui a rendu possible la survenance de la violation de données à caractère personnel ".
La formation restreinte souligne toutefois que les conséquences de ces défauts de sécurité ne sont pas pour autant exclues du champ de son analyse, en ce qu’elles révèlent la concrétisation du risque engendré par ces défauts de sécurité. La formation restreinte observe ainsi que les vulnérabilités existantes ont été exploitées et que plusieurs violations de données ont eu lieu : des intrusions sur le serveur FTP, suivies par la diffusion d’un fichier contenant les données médico-administratives de près de 500 000 personnes sur des forums en février 2021. À cet égard, la formation restreinte relève que les intrusions sur le serveur FTP sont avérées et qu’elles ne sont pas contestées par la société, celles-ci ayant été établies par les investigations menées par […] pour le compte de la société.
S’agissant de la diffusion du fichier sur les forums, si la société indique qu’il ne peut être conclu avec certitude que les intrusions sur le serveur FTP sont à l’origine de la violation de données ayant abouti à la diffusion de ce fichier, la formation restreinte observe néanmoins qu’il ressort des éléments du dossier qu’environ 90 % des données du fichier publié étaient présentes sur le serveur FTP. Le fichier diffusé sur les forums contient notamment les commentaires qui n’auraient pas dû être extraits par la société […] dans le cadre de la migration de la solution […] vers une autre solution (" commentaire P " et " commentaire D " susmentionnés). Ces différents éléments tendent bien à montrer le lien entre les données figurant dans le fichier accessible sur Internet et celles qui étaient sur le serveur FTP.
Ainsi, l’absence de mise en place de mesures de sécurité protégeant le serveur en cause - notamment l’absence de chiffrement, l’absence d’effacement automatique des données après leur migration, l’absence d’authentification requise depuis Internet pour accéder à la zone publique du serveur et l’utilisation de comptes utilisateurs partagés - a conduit à rendre accessibles lesdites données à des tiers, et ce malgré des alertes préalables à la violation de données à caractère personnel ayant conduit à la divulgation d’un fichier contenant les données médico-administratives de près de 500 000 personnes.
Dès lors, la formation restreinte considère que la société […] a méconnu son obligation résultant des dispositions de l’article 32 du Règlement, ce que la société ne conteste pas au demeurant.
Sur la sanction et la publicité
Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée, " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]
7° A l’exception des cas où le traitement est mis en œuvre par l’Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 ".
L’article 83 du RGPD prévoit que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
En premier lieu, sur le principe du prononcé d’une amende, la société insiste en défense sur l’absence de violation commise précédemment, sur son importante coopération avec la CNIL, sur les mesures de remédiation mises en œuvre depuis la violation de données à caractère personnel et sur les importants efforts de remise en conformité engagés.
La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature et la gravité de la violation, le nombre de personnes affectées et le niveau de dommage qu’elles ont subi, le fait que la violation a été commise par négligence, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
La formation restreinte relève, tout d’abord, les nombreux défauts de sécurité encadrant le serveur FTP […], lequel était insuffisamment protégé, ce qui a entraîné une violation de données à caractère personnel massive : de très nombreuses données concernant 491 840 personnes ont été divulguées.
La formation restreinte insiste, en outre, sur le caractère extrêmement dommageable de la violation pour les personnes concernées, dans la mesure où, outre des données d’état civil (civilité, nom, prénom), des coordonnées postales, électroniques et téléphoniques, des données très sensibles ont été divulguées. Le fichier objet de la violation de données à caractère personnel contient en effet des mentions relatives à l’infection au VIH, à des cancers ou des maladies génétiques, à la grossesse, aux traitements médicamenteux suivis par les patients ou encore à des données génétiques. Les données concernées par la violation sont des données de santé, lesquelles sont des catégories particulières de données au sens de l’article 9 du RGPD (dites données " sensibles "). Compte tenu de la nature des données concernées, la formation restreinte considère que la société aurait dû faire preuve d’une vigilance particulière en ce qui concerne la sécurisation de telles données, pour éviter qu’elles puissent être réutilisées par des tiers non autorisés, portant ainsi préjudice aux personnes concernées par la violation de données. Or les négligences commises en matière de sécurité ont été multiples et particulièrement graves, alors que la société traite de données sensibles et qu’elle avait d’ores et déjà été alertée sur l’existence potentielle de risques, dont certains se sont réalisés. La formation restreinte considère que le manquement ayant conduit à la violation de données est d’une
particulière gravité.
Elle souligne en outre qu’au regard de la nature de ces données à caractère personnel, les personnes concernées par la violation sont des cibles de choix pour un hameçonnage (" phishing ") personnalisé (envoi de faux messages ou de faux documents pour récupérer des informations personnelles ou de l’argent) : d’éventuels pirates disposent désormais de leur numéro de sécurité sociale, du nom de leur médecin prescripteur, de la date de leur examen, du nom du laboratoire ou encore, dans certains cas, d’informations médicales. La nature des données à caractère personnel compilées sous-tend également des risques d’usurpation d’identité, de fausses ordonnances (qui peuvent utiliser les noms des médecins), de messages de détresse factices reprenant les problèmes de santé mentionnés.
La formation restreinte relève enfin que la société n’a pas pris de mesures particulières pour faire cesser la diffusion du fichier une fois qu’elle en a eu connaissance. C’est la présidente de la CNIL, et non la société […], qui a fait délivrer une assignation en référé afin que soit assuré le blocage effectif du fichier litigieux.