Vigilance accrue pour les fichiers clients constitués de données personnelles intimes

La formation restreinte de la Commission Nationale de l'Informatique et des Libertés (CNIL) a prononcé le 28 mai 2019 (Délibération n°SAN-2019-005) une sanction de 400.000 euros à l'encontre de la société Sergic pour ne pas avoir respecté les règles relatives à la protection et celles relatives à la conservation des données personnelles, telle que prévues par le RGPD. La société Sergic, spécialisée dans la promotion immobilière, l'achat, la vente, la location et la gestion immobilière, permet à ses clients de télécharger les pièces justificatives nécessaires à la constitution de leur dossier, tels que contrat de travail, avis d'imposition, carte Vitale, acte de mariage, jugement de divorce, relevé de comptes bancaires, etc.

L'OBLIGATION D'ASSURER LA SÉCURITÉ DES DONNÉES PERSONNELLES

En août 2018, une plainte a été déposée par un client de Sergic qui avait réussi à accéder aux documents personnels d'autres clients en modifiant légèrement l'URL du site. Un contrôle en ligne de la CNIL a permis de confirmer rapidement ce grief. La CNIL a alerté la société de cette faille de sécurité. Un contrôle sur place a, ensuite, été réalisé. A cette occasion, il est apparu que Sergic avait eu connaissance de ce dysfonctionnement depuis mars 2018 et, malgré des tentatives de corrections par la société, ce n'est que le 17 septembre 2018 que l'incident a été définitivement résolu. La formation restreinte a considéré que la société avait manqué à son obligation de préserver la sécurité des données personnelles des utilisateurs de son site. La société n'avait en outre même pas mis en place de procédure d'authentification des utilisateurs pour accéder aux documents. :

Ce manquement a été aggravé par la nature particulière des données rendues accessibles (situation patrimoniale et familiale) qui relèvent de la vie privée, voire de l'intimité (par ex. jugement de divorce). Ce manquement a aussi été aggravé par le long délai de réaction. En effet, il aura fallu 6 mois à la société pour corriger complètement le problème de sécurité et aucune mesure d'urgence visant à limiter l'impact n'a été prise durant cette période. Il importe de relever que la CNIL a écarté comme non pertinents les arguments de la société tenant au caractère nécessaire des informations recueillies, à la compétence technique induite pour exploiter cette faille de sécurité ou encore à l'absence de mise en demeure préalable de la CNIL.

L'OBLIGATION DE CONSERVER LES DONNÉES PERSONNELLES POUR UNE DURÉE PROPORTIONNÉE

La CNIL a par ailleurs constaté que la société conservait en base active, sans limitation de durée, les documents des clients n'ayant pas accédé à la location. La CNIL rappelle dans cette décision que la conservation de données personnelles doit être déterminée en fonction de la finalité du traitement.

Si la conservation des données en base active n'est pas justifiée alors il est nécessaire de les supprimer ou d'effectuer un archivage intermédiaire dans une base distincte. Cet archivage intermédiaire doit être justifié et limité au strict nécessaire, avec un accès encore plus restreint.