Sanction CNIL 75.000 € Faille données sur site internet

Sanction CNIL

La CNIL vient de sanctionner une association de 75.000 € d’amende pour ne pas avoir assez protégé les données de demandeurs de logement de son site internet.

En juin 2017, la CNIL a été informée de l’existence d’un incident de sécurité qui conduisait à rendre librement accessibles les données personnelles des demandeurs de logement ayant effectué une démarche d’inscription sur le site internet de l’association.

Un contrôle en ligne a été réalisé le 15 juin 2017. Au cours de ce contrôle, la CNIL a constaté qu’une modification du chemin de l’URL affichée dans le navigateur permettait d’accéder à des documents enregistrés par d’autres demandeurs : avis d’imposition, passeports, cartes d’identité, titres de séjour, bulletins de salaires, attestations de paiement de la CAF.

Le même jour, la CNIL a alerté l’association de cette violation de données à caractère personnel et lui a demandé d’y remédier. Quelques jours plus tard, un contrôle sur place a été réalisé dans les locaux de l’association. Il a été constaté que les données étaient toujours accessibles, alors que l’association indiquait avoir demandé à la société ayant développé son site web d’intervenir.

La formation restreinte de la CNIL a prononcé une sanction pécuniaire de 75 000 euros, estimant que l’association avait manqué à son obligation de préserver la sécurité et la  confidentialité des données personnelles des utilisateurs de son site, conformément à l’article 34 de la loi Informatique et Libertés. Elle a relevé que les mesures élémentaires de sécurité n’avaient pas été prises en amont du développement du site. Elle a notamment précisé que l’association aurait dû mettre en place un dispositif permettant d’éviter la prévisibilité des URL (exemple : URL composée d’une chaîne de caractères aléatoires et ne comportant pas la dénomination de la pièce fournie par la personne telle que « carte-identité », « cni » ou « avis imposition »). De plus, la société aurait dû prévoir une procédure d’identification ou d’authentification des utilisateurs du site internet afin de protéger les documents téléversés par les demandeurs.

Sécurité CNIL RGPD

La formation restreinte a relevé que de nombreuses données d’identification des utilisateurs du site étaient accessibles telles que : des noms, prénoms, dates de naissance, coordonnées postales, statut marital ou encore leur nombre d’enfants ; le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) ; des IBAN (références bancaires) ; des données relevant de la vie privée : salaire, revenu fiscal de référence, versement d’une aide personnalisée au logement ou d’une allocation aux adultes handicapés.

La formation restreinte a tenu compte de la bonne coopération de l’association avec les services de la CNIL. Elle a néanmoins considéré que la gravité de la violation était constituée en raison de la nature des données rendues librement accessibles et du nombre de documents concernés par la violation (42 652). Compte tenu de cette gravité et du caractère particulièrement intime et complet des données concernées, la formation restreinte a décidé de rendre publique sa décision

Vous pouvez prendre connaissance du communiqué de la CNIL :

Pour obtenir la délibération complète de la CNIL.