La formation restreinte de la CNIL a prononcé, le 21 avril 2016, un avertissement public à l'encontre d'une importante société de vins et spiritueux car des données de ses clients étaient accessibles librement sur internet, rendu public le 24 mai 2016 (CNIL, délibération n° 2016-108, 21 avril 2016
N° Lexbase : X7989APL). La CNIL a réalisé un contrôle en ligne du site internet de cette société le 9 juillet 2015. Ce site a pour objet de proposer aux clients de la société d'adhérer à un programme de fidélité et de commander des objets promotionnels de la marque. A l'occasion de ce contrôle, la CNIL a relevé que les mesures garantissant la confidentialité des données des clients étaient insuffisantes. Les contrôleurs de la CNIL avaient en effet pu librement accéder à plusieurs milliers de données contenus dans les répertoires du site
web, dont les nom, prénom, date de naissance, adresses postale et électronique, numéros de téléphone et des informations relatives aux cartes bancaires des clients. Certains de ces répertoires, bien qu'exclus d'une indexation sur internet, ne faisaient pas l'objet de mesure de sécurité particulière permettant d'en restreindre l'accès alors qu'ils contenaient de nombreuses données personnelles. Immédiatement informée de cette faille de sécurité, la société a indiqué avoir bloqué l'accès aux données, par l'intermédiaire de son hébergeur. Or, un second contrôle daté du 27 novembre 2015, a révélé que les données étaient toujours accessibles, en interrogeant les URL d'accès direct aux fichiers litigieux. La Présidente de la CNIL a donc décidé d'engager une procédure de sanction à l'issue de laquelle un avertissement public a été prononcé à l'encontre de la société par la formation restreinte. Dans sa décision, celle-ci a estimé que :
- la société avait manqué à son obligation de veiller à la sécurité et confidentialité des données nominatives, en méconnaissance de l'article 34 de la loi "Informatique et libertés" (loi n° 78-17 du 6 janvier 1978
N° Lexbase : L8794AGS) ;
l'existence d'une relation de sous-traitance, aux termes de laquelle la société avait délégué l'hébergement de son site
web et la gestion de son contenu à des prestataires, ne l'exonérait pas de ses obligations légales ;
- l'absence de préjudice avéré pour les personnes concernées ne suffisait pas à faire disparaître le manquement.
Enfin, la formation restreinte a décidé de rendre sa sanction publique afin, notamment, de sensibiliser les responsables de traitement à leurs obligations en matière de confidentialité des données personnelles collectées, y compris lorsqu'ils font appel à un sous-traitant. La société a, depuis, corrigé cette faille de sécurité. Les données ne sont plus accessibles sur internet.
© Reproduction interdite, sauf autorisation écrite préalable