AgentPublic/cnil huggingface dataset:
En premier lieu, la formation restreinte rappelle qu’il résulte des dispositions de l’article 32 du RGPD que le responsable de traitement est tenu de s’assurer que le traitement automatisé de données qu’il met en œuvre est suffisamment sécurisé. Le caractère suffisant des mesures de sécurité s’apprécie, d’une part, au regard des caractéristiques du traitement et des risques qu’il induit, d’autre part, en tenant compte de l’état de connaissances et du coût des mesures.
La formation restreinte considère tout d’abord que des règles de complexité des mots de passe trop permissives, qui autorisent l’utilisation de mots de passe insuffisamment robustes, peuvent conduire à des attaques par des tiers non autorisés, telles que des attaques par force brute ou par dictionnaire , qui consistent à tester successivement et de façon systématique de nombreux mots de passe et conduisent, ainsi, à une compromission des comptes associés et des données à caractère personnel qu’ils contiennent.
Elle relève, à cet égard, que la nécessité d’un mot de passe fort est recommandée tant par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) que par la Commission dans sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, exigence confirmée dans sa délibération n° 2022-100 du 21 juillet 2022.
A titre d’illustration, la formation restreinte rappelle que la Commission considère dans sa délibération n° 2017-012 du 19 janvier 2017 – qui n’a certes pas un caractère impératif mais qui fournit un éclairage pertinent sur les mesures qu’il convient de prendre en matière de sécurité – que, pour assurer un niveau de sécurité et de confidentialité suffisant, dans l’hypothèse où l’authentification repose uniquement sur un identifiant et un mot de passe, ce dernier doit être composé d'au minimum douze caractères comprenant des majuscules, des minuscules, des chiffres et des caractères spéciaux.
À défaut, la Commission considère que permet également d’assurer un niveau de sécurité et de confidentialité suffisant une authentification reposant sur un mot de passe d’une longueur minimum de huit caractères, composé de trois catégories de caractères différentes mais accompagnée d’une mesure complémentaire comme, par exemple, la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : captcha ) et/ou le blocage du compte après plusieurs tentatives d’authentification infructueuses (au maximum dix).
La formation restreinte souligne qu’elle a adopté des sanctions pécuniaires où la caractérisation d’un manquement à l’article 32 du RGPD est le résultat de mesures insuffisantes pour garantir la sécurité des données traitées. Les délibérations n° SAN-2019-006 du 13 juin 2019, n° SAN-2019-007 du 18 juillet 2019 et n° SAN-2022-018 du 8 septembre 2022 visent notamment l’insuffisante robustesse des mots de passe.
La formation restreinte relève qu’en l’espèce, d’une part, les mots de passe des utilisateurs du site web […] devaient être, à l’époque des contrôles, composé d’un caractère unique et dépourvus de mesure de sécurité complémentaire. Il ressort des observations de la société que les mots de passe exigés sont désormais d’une longueur de 8 caractères composés d’au moins une majuscule, une minuscule, un chiffre et un caractère spécial sans que soit prévue de restriction d’accès. D’autre part, les références confidentielles - assimilables à des mots de passe au sens de la définition de la délibération n° 2022-100 du 21 juillet 2022 selon laquelle le terme mot de passe désigne tout facteur de connaissance, à savoir tout ensemble d’informations révocable, connu uniquement de la personne concernée et permettant ou contribuant à l’authentification de celle-ci - étaient constituées de dix caractères alphanumériques dont les sept premiers étaient publics, en ce qu’ils correspondaient à la référence de l’annonce sur le site, avec seuls les trois derniers caractères privés. De plus, ces références étaient transmises en clair et ne pouvaient être modifiées par l’utilisateur de sorte qu’elles constituaient un moyen d’authentification pérenne.
La formation restreinte considère que de telles constructions ne permettent pas d’assurer la sécurité des données et d’empêcher que des tiers non autorisés y aient accès.
Concernant les mots de passe exigés au moment de la création d’un compte, elle rappelle, comme l’a souligné la rapporteure, que la société traitait au jour du contrôle sur place les données associées à près de cinq millions de comptes utilisateurs telles les nom, prénom, adresse électronique. Ainsi, ces mots de passe, associés à leurs identifiants, permettent d’accéder à toutes les données à caractère personnel contenues dans leurs comptes […] Ils n’étaient pas assez robustes, au regard des données personnelles en jeu et de l’état de l’art.
Concernant la référence confidentielle, la formation restreinte considère que l’usage de cette seule référence constituée de dix caractères alphanumériques ne remplissait pas le critère de complexité suffisant. En effet, il apparait qu’une première partie de cette référence, les sept premiers caractères alphanumériques correspondant à la référence de l’annonce, doit être assimilée un identifiant public. Quant à la seconde partie de la référence, composée des trois derniers caractères alphanumériques, qui s’apparente à un mot de passe ne remplit pas les critères de robustesse tels que décrits plus avant.
En outre, comme l’a souligné la rapporteure, cette référence confidentielle permet d’accéder aux données à caractère personnel présentes dans l’espace propriétaire associées à la personne ayant publié l’annonce, de les modifier et modifier également l’annonce. Au surplus, l’accès à cet espace permet d’accéder aux échanges intervenus entre le propriétaire et les personnes intéressées par l’annonce à l’occasion desquels de nombreuses informations personnelles peuvent être transmises (situations familiale, professionnelle, financière).
Aussi, une authentification reposant sur l’utilisation, d’une part, d’un mot de passe, par le passé court et dépourvu de mesure de sécurité complémentaire, actuellement toujours insuffisamment robuste en l’absence de mesure de sécurité complémentaire et, d’autre part, d’une référence confidentielle non modifiable, transmise en clair et sans complexité suffisante, peut conduire à des attaques par des tiers non autorisés et ainsi à une compromission des comptes utilisateurs et de l’espace propriétaire et des nombreuses données à caractère personnel qu’ils contiennent.
En conséquence, la formation restreinte considère que la politique des mots de passe et de la référence confidentielle déployée était et demeure insuffisamment robuste pour garantir la sécurité des données traitées, ce qui méconnaît l’article 32 du RGPD.
En deuxième lieu, la formation restreinte rappelle que la conservation des mots de passe de manière sécurisée constitue une précaution élémentaire en matière de protection des données à caractère personnel. Dès 2013, l’ANSSI alertait et rappelait les bonnes pratiques s’agissant de la conservation des mots de passe en indiquant qu’ils doivent être stockés sous une forme transformée par une fonction cryptographique à sens unique (fonction de hachage) et lente à calculer telle que PBKDF2 et que la transformation des mots de passe doit faire intervenir un sel aléatoire pour empêcher une attaque par tables précalculées (ANSSI, Bulletin d’actualité CERTA-2013-ACT-046 , 15 novembre 2013, https://www.cert.ssi.gouv.fr/actualite/CERTA-2013-ACT-046/).
De même, dans sa délibération n° 2017-012 du 19 janvier 2017, la CNIL indiquait déjà qu’elle recommande [que le mot de passe] soit transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé . En effet, les fonctions de hachage non robustes présentent des vulnérabilités connues qui ne permettent pas de garantir l’intégrité et la confidentialité des mots de passe en cas d’attaque par force brute après compromission des serveurs qui les hébergent.
En l’espèce, la formation restreinte relève que la conservation en clair, d’une part, des mots de passe d’utilisateurs, associés à leurs identifiants et à leur adresse électronique, et, d’autre part, des références confidentielles, associées à un espace personnel, ne permet pas de garantir leur sécurité. Cette modalité de conservation implique que toute personne ayant accès à la base de données des clients de la société – que ce soit un administrateur des systèmes d’information de la société ou un attaquant en cas de compromission – peut les consulter, les collecter, les modifier ou encore les vendre.
Dans ces conditions, la formation restreinte considère que les modalités de stockage des mots de passe et des références confidentielles ne permettaient pas, au jour des constats, de garantir la sécurité et la confidentialité des données à caractère personnel des détenteurs de comptes utilisateurs ce qui méconnaît l’article 32 du RGPD.
En conséquence, la formation restreinte considère que les faits précités, non contestés par la société, constituent des manquements aux obligations de l’article 32 du RGPD. Elle prend acte de ce que depuis les contrôles, la société a remédié partiellement aux manquements constatés en mettant en place une politique de mots de passe présentant un niveau de sécurité adéquat et en chiffrant l’ensemble des mots de passe.
Sur la conservation des données en base active
La rapporteure relève qu’à l’occasion des contrôles, la délégation a été informée que l’ensemble des données relatives aux clients inactifs était conservé durant dix ans et celles relatives aux comptes utilisateurs inactifs durant cinq ans en base active sans qu’intervienne d’archivage intermédiaire.
En défense, la société conteste l’existence du manquement. D’abord, elle fait valoir que cette conservation en base active des données des clients et utilisateurs devenus inactifs est justifiée par une finalité de lutte contre la fraude qui nécessite des contrôles quotidiens. Ensuite, elle précise que seules les personnes ayant un intérêt à traiter les données en raison de leurs fonctions peuvent accéder aux données à caractère personnel à savoir les conseillers du service client, les salariés des départements de l’informatique et les membres de la direction. A cet égard, elle ajoute que ces salariés sont soumis à une clause de confidentialité et à un engagement de confidentialité et que chacun d’eux dispose d’un mot de passe personnel.
La formation restreinte rappelle que pour assurer la sécurité des données, il est nécessaire qu’un tri soit effectué parmi ces données lorsqu’elles ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées. Ainsi, elles doivent être supprimées ou faire l’objet d’un archivage intermédiaire consistant notamment en une séparation physique ou logique.
Dans le présent cas, la formation restreinte relève qu’il ressort des explications fournies par la société que si la finalité de lutte contre la fraude peut justifier une conservation des données, les modalités de conservation des données en base active telles que définies par la société ne permettent pas d’assurer la sécurité des données. D’une part, la formation restreinte relève le nombre important de catégories de salariés ayant accès à la base de données dans la mesure où aussi bien les conseillers du service client, les salariés des départements de l’informatique que les membres de la direction sont habilités à accéder à la base de données. D’autre part, elle constate l’absence de tri opéré entre les données conservées alors qu’il apparaît que la conservation des données telles que celles de l’annonce et de l’adresse de facturation n’est pas nécessaire à l’objectif poursuivi de lutte contre la fraude. La société a en effet confirmé lors de la séance que la donnée utilisée afin d’identifier des fraudeurs était l’adresse électronique.
En conséquence, la formation restreinte considère que le manquement est constitué.
Sur le manquement à l’obligation d’information et au droit d’opposition à la prospection commerciale par courrier électronique pour produits ou services analogues
L’article L. 34-5 du code des postes et des communications électroniques (CPCE) prévoit que Est interdite la prospection directe au moyen de système automatisé de communications électroniques […], d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique […] qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen.
Constitue une prospection directe l'envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une personne vendant des biens ou fournissant des services. Pour l'application du présent article, les appels et messages ayant pour objet d'inciter l'utilisateur ou l'abonné à appeler un numéro surtaxé ou à envoyer un message textuel surtaxé relèvent également de la prospection directe.
Toutefois, la prospection directe par courrier électronique est autorisée si les coordonnées du destinataire ont été recueillies auprès de lui, dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'occasion d'une vente ou d'une prestation de services, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire se voit offrir, de manière expresse et dénuée d'ambiguïté, la possibilité de s'opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l'utilisation de ses coordonnées au moment où elles sont recueillies et chaque fois qu'un courrier électronique de prospection lui est adressé au cas où il n'aurait pas refusé d'emblée une telle exploitation .
Ces dispositions transposent en droit français les règles régissant l’utilisation de systèmes automatisés d’appel et de communication sans intervention humaine (automates d’appel), de télécopieurs ou de systèmes d’envoi de courrier électronique à des fins de prospection directe fixées par la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (dite directive ePrivacy ), telle que modifiée par la directive 2009/136/CE du 25 novembre 2009.
La rapporteure relève que lorsqu’un utilisateur souscrit à une alerte concernant un bien immobilier, celui-ci est susceptible de recevoir des courriels pour des biens ou services analogues par la société, sans en avoir été ni informé ni avoir eu la possibilité de s’y opposer, lors de la création de l’alerte.
En défense, la société conteste le manquement en affirmant que les courriers électroniques litigieux ne constituent pas de la prospection commerciale puisqu’ils ne visent pas à promouvoir des biens ou services. En outre, elle fait valoir le faible volume de ce type de messages et précise que les utilisateurs ont la possibilité de se désinscrire via un lien de désinscription présent dans chaque nouvelle communication.
La formation restreinte rappelle qu’au sens de l’article L.34-5 du CPCE, d’une part, la prospection commerciale directe se définit comme tout message visant la promotion directe ou indirecte de biens, services ou de l’image d’une personne vendant des biens ou fournissant des services . D’autre part, les produits et services analogues, proposés à l’occasion d’une vente ou d’une prestation de services, doivent s’entendre comme promouvant des biens ou services d’une même personne physique ou morale sans nécessité que la promotion conduise à une transaction financière avec la personne.
La formation restreinte considère que les courriels adressés par la société aux utilisateurs tels que ceux contenant des informations concernant une annonce ou des sondages anonymes sur des actualités immobilières découlent directement de la souscription à l’alerte relative à un bien immobilier et ne visent pas à promouvoir d’autres biens ou services proposés par la société. Aussi, ces courriels ne constituent pas de la prospection commerciale au sens de l’article L.34-5 du CPCE.
Dans ces conditions, la formation restreinte considère que le manquement à l’article L.34-5 du CPCE n’est pas constitué.
Sur les mesures correctrices et leur publicité
Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
L’article 83 du RGPD prévoit que Chaque autorité de contrôle veille à ce que les amendes administratives imposées […] soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
Sur le prononcé d’une amende administrative et son montant
Sur le prononcé d’une amende administrative
En défense, la société considère que l’amende administrative proposée est disproportionnée par rapport aux manquement allégués et à sa conduite puisqu’elle a mis en œuvre plusieurs mesures correctives avant la fin de l’instruction, en particulier, la modification de sa politique de confidentialité afin de délivrer les informations requises, le recours à des sous-traitants encadré par un acte juridique contenant l’ensemble des mentions prévues, la mise en place d’une politique et de stockage de mot de passe présentant un niveau de sécurité adéquat. En outre, elle souligne avoir pleinement coopéré avec les services de la CNIL. Elle ajoute qu’elle n’a tiré aucun avantage financier des manquements reprochés. Elle fait valoir que son chiffre d’affaires stagne et que le secteur […], particulièrement concurrentiel, est en crise. Enfin, elle considère que l’amende de 250 000 euros proposée par la rapporteure équivaut à […] % de son chiffre d’affaires de 2023 et est, par conséquent, excessive.
La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes affectées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle et, dans certains cas, le niveau de dommage subi par les personnes.
La formation restreinte relève d’abord que les manquements reprochés à la société portent atteinte à des principes fondamentaux prévus par le RGPD et concernent de nombreuses personnes.
S’agissant du manquement au principe de limitation de la durée de conservation des données à caractère personnel, la société a fait preuve de négligence, d’une part, en ne définissant pas de façon adéquate une durée de conservation relative aux données des clients ayant conclu un contrat inférieur à 120 euros et, d’autre part, en n’appliquant pas la durée de conservation qu’elle avait définie pour les données relatives aux utilisateurs au jour des contrôles. La formation restreinte relève que ce manquement concerne un nombre important de personnes, la société dénombrant 2 394 538 utilisateurs dont la dernière connexion à leur compte remontait entre cinq et dix ans à la date des contrôles.
S’agissant du manquement à l’obligation d’information des personnes concernées et à la transparence, la formation restreinte relève que la société a manqué à l’exigence de fourniture d’une information complète et transparente aux personnes concernées, qui constitue un préalable indispensable à tout traitement de données à caractère personnel.
S’agissant du manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués pour le compte du responsable de traitement, la formation restreinte relève que la société a manqué de rigueur en ne veillant pas à souscrire à un document contractuel contenant les mentions requises à l’article 28 du RGPD, privant ainsi les personnes concernées de bénéficier d’une pleine protection de leurs données à caractère personnel.
S’agissant du manquement à l’obligation d’assurer la sécurité des données à caractère personnel, la formation restreinte souligne le nombre de manquements constatés aux obligations élémentaires de sécurité, à savoir, le recours à un mot de passe et à une référence confidentielle insuffisamment robustes pour des comptes clients ou utilisateurs, la transmission en clair de la référence confidentielle, le stockage en clair des mots de passe et références confidentielles ainsi que la conservation des données en base active. La formation restreinte estime que l’accumulation de ces défauts de sécurité ne permettait pas aux personnes de bénéficier de l’entière protection prévue par le RGPD quant à l’usage de leurs données.
Enfin, tout en tenant compte de ce que la société a mis en place des mesures à la suite de la notification du rapport de sanction, la formation restreinte relève que ces actions n’exonèrent pas la société de sa responsabilité pour les manquements constitués pour le passé.
En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour les manquements aux articles 5-1-e), 13, 28 et 32 du RGPD.
Sur le montant de l’amende administrative
La formation restreinte relève d’abord que les manquements aux articles 5-1-e) et 13 du RGPD constituent des manquements à des principes clés du RGPD susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros ou jusqu’à 4 % du chiffre d’affaires annuel, le montant le plus élevé étant retenu.
La formation restreinte relève que la société a réalisé, en 2022, […].
Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83 du Règlement, la formation restreinte estime qu’une amende administrative d’un montant total de cent mille (100 000) euros pour les manquements aux articles 5-1-e), 13, 28 et 32 du RGPD apparait justifiée.
Sur la publicité
La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements en cause et du nombre de personnes concernées. Elle considère également que la publicité de la sanction permettra notamment d’informer l’ensemble des personnes concernées par les manquements.
Enfin, la mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
prononcer à l’encontre de […] une amende administrative d’un montant de cent mille (100 000) euros pour manquements aux articles 5-1-e), 13, 28 et 32 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données ;
rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.