Archives par mot-clé : cnil

Cybersécurité, Entreprise, Fuite de données, Justice, loi, RGPD

La CNIL sanctionne une publicité ciblée sans consentement valable

Données de fidélité détournées, information défaillante et sécurité insuffisante, la CNIL inflige une lourde sanction financière pour rappeler les règles encadrant la publicité ciblée sur les réseaux sociaux.

En janvier 2023, la CNIL a mené plusieurs contrôles auprès d’une société utilisant les données de son programme de fidélité à des fins de publicité ciblée sur un réseau social. Depuis février 2018, les adresses électroniques et numéros de téléphone de plus de 10,5 millions de personnes avaient été transmis afin d’afficher des publicités personnalisées. À l’issue de l’enquête, la formation restreinte de la CNIL a prononcé une amende de 3,5 millions d’euros pour plusieurs manquements au RGPD et à la loi Informatique et Libertés. La décision, adoptée en coopération avec 16 autorités européennes, met en lumière les risques juridiques et cyber liés à l’exploitation des données marketing à grande échelle.

Une exploitation massive des données de fidélité

Les contrôles réalisés par la CNIL ont mis en évidence une pratique installée dans la durée. Depuis février 2018, la société concernée transmettait les coordonnées électroniques des membres de son programme de fidélité à un réseau social. Ces informations permettaient d’afficher des publicités ciblées visant à promouvoir les produits vendus par l’entreprise. Le traitement portait sur un volume très important de données, concernant plus de 10,5 millions de personnes.

À l’issue de l’enquête, la formation restreinte, organe chargé des sanctions, a estimé que plusieurs obligations essentielles n’étaient pas respectées. Elle a prononcé une amende de 3,5 millions d’euros, un montant justifié par la gravité des manquements et l’ampleur du public concerné. La décision a été prise en coopération avec 16 homologues européens, les données de résidents de ces pays étant impliquées.

La CNIL a également choisi de rendre publique sa délibération. Elle a considéré que la publicité ciblée sur les réseaux sociaux étant largement répandue, il était nécessaire de rappeler les règles applicables. L’autorité a toutefois estimé qu’il n’était pas utile de nommer la société, privilégiant une démarche pédagogique plutôt qu’exemplaire sur le plan réputationnel.

Consentement et information, des fondements fragilisés

Le premier manquement concerne l’absence de base légale au sens de l’article 6 du RGPD. La société invoquait le consentement recueilli lors de l’adhésion au programme de fidélité, lorsque les clients acceptaient de recevoir de la prospection par SMS ou par courrier électronique. Pour la CNIL, cet argument ne tient pas.

Le formulaire d’adhésion ne mentionnait pas la transmission des données à un réseau social à des fins de publicité ciblée. Les documents accessibles depuis le site web, notamment la politique de protection des données, étaient soit silencieux sur cette transmission, soit insuffisamment clairs quant à sa finalité. Le parcours d’accès à l’information était jugé complexe, empêchant toute compréhension réelle du traitement. Dans ces conditions, le consentement ne pouvait être ni explicite ni éclairé, contrairement aux exigences du RGPD.

L’autorité a également relevé un manquement aux obligations d’information prévues aux articles 12 et 13 du règlement. Les finalités des traitements n’étaient pas clairement associées à leurs bases légales. Certaines informations manquaient, comme la finalité précise de la publicité ciblée ou la durée de conservation des données. D’autres étaient erronées, notamment les mentions relatives aux transferts internationaux, encore fondées sur le Privacy Shield, pourtant invalidé.

Failles de sécurité et gouvernance défaillante

Au-delà des aspects juridiques, la CNIL a pointé des insuffisances techniques. Les règles de complexité des mots de passe des comptes utilisateurs ont été jugées trop faibles. L’autorité a rappelé que l’utilisation de la fonction de hachage SHA-256 ne garantit pas, à elle seule, un stockage sécurisé des mots de passe, exposant les comptes à des risques accrus en cas de compromission.

Un autre manquement majeur concerne l’absence d’analyse d’impact relative à la protection des données. Aucun AIPD n’avait été réalisée avant la mise en œuvre du ciblage publicitaire. Or, le traitement combinait un volume élevé de données et des opérations de croisement, susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes. Une analyse préalable aurait dû être conduite.

L’AIPD est un outil clé de conformité RGPD, à la fois juridique, organisationnel et technique, indispensable pour sécuriser les traitements de données à risque élevé. Il comprend la description détaillée du traitement et de ses finalités ; Analyse de la nécessité et de la proportionnalité ; Évaluation des risques pour les personnes et des Mesures prévues pour réduire ces risques (sécurité, gouvernance, procédures). Testez notre outil en ligne GRATUIT qui vous explique l’AIPD.

Enfin, la CNIL a relevé des violations des règles encadrant les cookies. Lors de la visite du site, onze cookies soumis à consentement étaient déposés avant tout choix de l’utilisateur. Même en cas de refus explicite, ces traceurs n’étaient ni supprimés ni désactivés, continuant à être lus en violation de la loi Informatique et Libertés.

Cette décision illustre une réalité du renseignement cyber, la conformité juridique, la sécurité technique et la transparence constituent un tout indissociable face aux usages intensifs des données personnelles.

CNIL, Transmission de données à un réseau social à des fins publicitaires, 2026 : https://www.cnil.fr/fr/transmission-de-donnees-un-reseau-social-des-fins-publicitaires-sanction

Cybersécurité, Entreprise, Justice, Securite informatique

La CNIL sanctionne Nexpubica pour le logiciel PCRM

Une fuite fonctionnelle a exposé des dossiers d’usagers à des tiers dans des portails d’action sociale. Trois ans plus tard, la CNIL inflige 1,7 million d’euros pour défauts de sécurité jugés élémentaires.

Le 22 décembre 2025, la CNIL a condamné NEXPUBLICA FRANCE à 1 700 000 euros d’amende pour insuffisance de mesures de sécurité autour de PCRM, un progiciel de gestion de la relation usagers utilisé dans l’action sociale, notamment par des MDPH. Fin novembre 2022, des clients ont signalé à la CNIL que des utilisateurs accédaient à des documents appartenant à des tiers. Les contrôles ont mis en évidence des faiblesses techniques et organisationnelles, des vulnérabilités connues via des audits, et des corrections tardives, après la violation. La sensibilité des données, dont certaines révèlent un handicap, a pesé lourd.

Le déclencheur : des usagers voient les documents d’autrui

Le dossier démarre par une alerte venue du terrain. Fin novembre 2022, des clients de NEXPUBLICA FRANCE notifient à la CNIL une violation de données personnelles après des signalements d’usagers : sur le portail, certains auraient consulté des documents concernant des tiers. Ce type d’incident est redouté en environnement social, car l’accès indu, même « par erreur », produit un dommage immédiat pour les personnes, et expose l’organisation à une perte de confiance durable.

La CNIL intervient alors par des contrôles auprès de l’éditeur. Le contexte est celui d’un logiciel métier, PCRM, destiné à gérer la relation avec les usagers de l’action sociale et utilisé, selon les éléments fournis, par des maisons départementales des personnes handicapées dans certains départements. Autrement dit, la chaîne de traitement ne se limite pas à un site web : elle relie des collectivités, des agents, des workflows administratifs, et des espaces de dépôt ou de consultation de pièces justificatives.

Dans une lecture cyber, l’incident ressemble à une brèche de cloisonnement. Quand un usager obtient des pièces qui ne lui appartiennent pas, l’hypothèse la plus simple n’est pas un « piratage spectaculaire » mais un défaut de contrôle d’accès, de gestion de session ou de logique applicative. C’est précisément ce que la CNIL sanctionne ici : une sécurité qui n’a pas été pensée au niveau du risque réel, alors que le produit traite des données particulièrement sensibles.

Pourquoi l’article 32 du RGPD pèse si lourd dans ce cas

La CNIL fonde la sanction sur l’obligation de sécurité prévue par l’article 32 du RGPD. Le principe est connu, mais il mérite d’être traduit en termes concrets : le responsable de traitement et le sous-traitant doivent mettre en place des mesures adaptées au risque, en tenant compte de l’état de l’art, du coût de mise en œuvre, et de la nature et des finalités du traitement. Ici, la nature du traitement est déterminante : le dossier concerne l’action sociale et inclut des informations pouvant révéler un handicap. La sensibilité intrinsèque augmente mécaniquement le niveau d’exigence attendu.

La formation restreinte, organe de la CNIL chargé des sanctions, retient une faiblesse « généralisée » du système d’information et une forme de négligence, avec des problèmes structurels laissés en place dans la durée. L’autorité relève aussi que la plupart des vulnérabilités constatées relevaient d’un manque de maîtrise de l’état de l’art et de principes de base en sécurité. C’est un point clé : ce reproche ne vise pas une sophistication technique manquante, mais l’absence de fondamentaux.

Le raisonnement suivi par la CNIL, tel qu’il est décrit, tient en trois étapes. Premièrement, des failles existent dans PCRM et exposent des données. Deuxièmement, ces failles étaient identifiées, notamment au travers de plusieurs audits. Troisièmement, malgré cette connaissance, les corrections n’ont été apportées qu’après les violations. Cette chronologie aggrave l’appréciation, car elle transforme une vulnérabilité en manquement persistant, donc en risque accepté par défaut.

Une sanction calibrée sur la sensibilité, l’ampleur et la posture d’éditeur

Le montant, 1 700 000 euros, est justifié par plusieurs critères mentionnés : capacités financières de la société, non-respect de principes élémentaires, nombre de personnes concernées, et sensibilité des données. L’addition de ces facteurs compose une logique de proportionnalité : plus les données sont intimes et le public vulnérable, plus l’exposition est grave ; plus les failles sont « basiques » et connues, plus l’inaction est difficile à défendre.

Le dossier comprend un élément de contexte qui pèse lourd politiquement : NEXPUBLICA FRANCE est spécialisée dans la conception de systèmes et logiciels informatiques. Pour la CNIL, cette spécialisation rend l’argument de l’ignorance moins crédible. Dans une approche de renseignement économique, cela renvoie aussi à l’enjeu de chaîne d’approvisionnement logicielle : quand un éditeur fournit des briques à des acteurs publics, la faiblesse d’un produit peut se répercuter sur des services essentiels et sur des populations sensibles, sans qu’il y ait besoin d’une attaque sophistiquée.

La formation restreinte n’a pas assorti la sanction d’une injonction de mise en conformité, car l’entreprise a déployé les correctifs nécessaires après les violations. Ce détail compte : il montre que l’autorité a choisi de sanctionner l’insuffisance initiale et la gestion tardive des risques, tout en constatant une remédiation effective. En clair, la conformité obtenue après coup n’efface pas le défaut de sécurité au moment où les données étaient exposées.

Cybersécurité, Entreprise, Justice

Prospection politique : la CNIL sanctionne cinq candidats

En décembre 2025, la CNIL frappe cinq candidats des scrutins européens et législatifs 2024. Motif : des messages de campagne envoyés à des électeurs, sans respecter plusieurs exigences de protection des données.

La CNIL a prononcé en décembre 2025 cinq sanctions simplifiées contre des candidats aux élections européennes et aux législatives anticipées de 2024. Les contrôles, déclenchés après des signalements via un téléservice dédié, ont mis au jour des manquements liés à l’envoi de SMS, courriels ou courriers de prospection politique. Au total, 23 500 € d’amendes ont été infligés. La CNIL relève notamment l’incapacité à prouver la base légale du traitement, l’utilisation de données collectées pour d’autres finalités, une information incomplète des personnes, l’absence de mécanisme d’opposition, le défaut de réponse à des demandes de droits, et une faille de confidentialité par envoi sans « cci ».

Un observatoire des élections pour capter les dérives

L’épisode démarre pendant la séquence électorale de 2024, marquée par les européennes et des législatives anticipées. Pour canaliser les remontées du public, la CNIL a ouvert un téléservice, pensé comme un point d’entrée unique pour signaler des situations problématiques, dont la réception de messages de prospection politique. Le dispositif, présenté comme un « observatoire des élections », a servi de déclencheur opérationnel. Des citoyens y ont rapporté des SMS, des courriels ou des courriers perçus comme intrusifs, ou envoyés dans des conditions jugées irrégulières.

À partir de ces alertes, l’autorité a interrogé les candidats mis en cause sur la manière dont ils avaient géré les traitements de données liés à leurs envois. Le cœur du sujet n’est pas la communication politique en elle-même, mais la façon dont des informations personnelles ont été utilisées, et sécurisées, pour toucher des électeurs. Dans une campagne, la tentation est forte d’aller vite, d’externaliser, de réutiliser des fichiers existants ou de s’appuyer sur des circuits déjà prêts. C’est précisément là que la CNIL place son curseur : une campagne électorale n’est pas une zone de non-droit, et la mécanique de prospection doit rester compatible avec les règles de protection des données.

Les investigations ont débouché sur cinq sanctions financières prononcées via la procédure simplifiée. La somme totale des amendes atteint 23 500 €. Dit autrement, le dossier met en scène un volume limité de décisions, mais une diversité de défaillances. Et, en filigrane, une même question de gouvernance : qui maîtrise réellement la chaîne, depuis la collecte des données jusqu’au clic sur « envoyer » ?

Des manquements répétés, du consentement à la sécurité

Premier reproche, la difficulté, pour certains candidats, de démontrer que le traitement reposait sur une base légale. La CNIL rappelle que le candidat reste responsable, y compris s’il confie l’envoi à une société spécialisée. Externaliser l’exécution ne transfère pas l’obligation de conformité. Concrètement, les candidats doivent pouvoir établir soit que les destinataires ont accepté de recevoir ces messages, soit que les conditions permettant d’invoquer un intérêt légitime sont réunies, notamment en montrant que les personnes pouvaient raisonnablement s’attendre à être contactées. Or, les contrôles indiquent que certains n’ont pas été capables de fournir ces éléments, ce qui constitue un manquement à l’article 5-2 du RGPD. Sur le plan cyber, l’enjeu est simple : sans traçabilité, pas de preuve, et sans preuve, la conformité s’effondre au premier contrôle.

Deuxième manquement, l’usage de données pour un objectif différent de celui annoncé au départ. Un cas ressort nettement : l’un des candidats, professionnel de santé, a utilisé les numéros de téléphone de ses patients, collectés pour organiser les consultations et assurer le suivi médical, afin d’envoyer un SMS vantant sa candidature. La CNIL juge cet emploi incompatible avec la finalité initiale (article 5-1-b du RGPD). L’affaire illustre une dérive classique dans les environnements riches en données : la réutilisation opportuniste d’un fichier « disponible », sans reposer la question du pourquoi et du cadre. Dans une logique de renseignement, le point d’alerte est évident : lorsqu’une même personne cumule des rôles, l’accès à des données sensibles au travail peut devenir un levier d’influence en dehors de ce contexte.

Troisième reproche, l’information insuffisante des personnes. En prospection politique, la CNIL rappelle l’obligation de fournir l’ensemble des informations prévues par les articles 13 et 14 du RGPD. Le moment dépend de l’origine des données : à la collecte, ou dès le premier message si les données proviennent d’un tiers, par exemple des listes électorales, de sociétés spécialisées dans la revente de données, d’un listing de parti politique, ou d’autres canaux cités par l’autorité. Or, dans quatre cas sur cinq, les messages ou courriers contrôlés n’incluaient pas ces informations, ou seulement une partie. Cette lacune n’est pas un détail rédactionnel. Elle empêche l’électeur de comprendre pourquoi il est ciblé, par qui, et sur quel fondement. Pour une campagne, c’est aussi une erreur stratégique : l’opacité alimente la défiance et transforme un message de mobilisation en signal d’intrusion.

Quatrième manquement, l’absence de mécanisme d’opposition réellement utilisable. Deux candidats n’avaient prévu aucun dispositif permettant aux personnes de refuser la réception de nouveaux messages. La CNIL cite, à titre d’exemples, un « STOP SMS » ou un lien de désinscription. Ici, la logique est binaire : si l’opposition n’est pas simple, elle n’est pas effective, et le droit devient théorique. Dans une lecture cyber, c’est aussi une question de contrôle des flux : une campagne qui ne sait pas traiter les demandes d’opposition est une campagne qui perd la maîtrise de sa propre base, et augmente mécaniquement le risque de plaintes, de blocages et d’escalade contentieuse.

Cinquième point, le défaut de réponse à une demande d’exercice de droits. Un plaignant, destinataire d’un SMS de prospection, a demandé des explications, notamment sur la source de ses données et sur la base légale du traitement, et a également demandé l’effacement. Le candidat n’a pas répondu. La CNIL a sanctionné ce silence et a ajouté une injonction : répondre aux demandes. Ce volet, souvent traité comme un irritant administratif, est en réalité un test de maturité organisationnelle. Répondre suppose d’avoir documenté les entrées de données, les échanges avec d’éventuels prestataires, et la logique de conservation. Là encore, sans journalisation et sans chaîne de responsabilité, la réponse devient impossible.

Enfin, la CNIL relève un manquement à la confidentialité (article 32 du RGPD) dans un envoi par courriel à plusieurs centaines de destinataires, tous adhérents d’un même parti, sans utiliser le champ « cci ». Résultat : les adresses électroniques ont été exposées à l’ensemble des destinataires. L’autorité insiste sur la gravité du risque, car ces données peuvent révéler des opinions politiques réelles ou supposées. Elle rappelle qu’il s’agit de données sensibles au sens de l’article 9 du RGPD. Pour l’angle cybersécurité, c’est le point le plus immédiatement tangible : une simple erreur de paramétrage, ou un geste mal maîtrisé, suffit à créer une fuite de données, avec un impact potentiel sur la sécurité des personnes et sur la confiance dans l’organisation politique.

Ce que la CNIL rappelle aux candidats, et aux prestataires

Pris ensemble, ces manquements dessinent une cartographie très concrète des fragilités des campagnes. D’abord, la gouvernance. La CNIL répète un principe clé : même si une entreprise est sollicitée pour envoyer les messages, le candidat demeure comptable de la conformité. Dans les faits, cela signifie que la délégation ne peut pas se limiter à « faire partir » un volume de messages. Elle doit inclure la capacité à démontrer la licéité, à expliquer l’origine des données, et à garantir les droits. Ce n’est pas une formalité, c’est une obligation de preuve.

Ensuite, la discipline des finalités. Le cas du professionnel de santé résume l’écueil : une donnée collectée dans un contexte relationnel asymétrique, ici le soin, ne peut pas être recyclée pour un objectif électoral. Au-delà du cadre juridique rappelé par la CNIL, l’effet de renseignement est évident : des bases constituées pour des usages de confiance, lorsqu’elles sont détournées, deviennent des outils de pression ou d’influence, même si l’intention initiale se veut « seulement » politique. La frontière, pour le public, se brouille immédiatement.

Troisième enseignement, la transparence n’est pas optionnelle. La CNIL insiste sur l’information complète : dire ce qui est fait, avec quelles données, et comment exercer ses droits. Ce point est crucial dans un environnement où les données circulent par listes, par prestataires, par réutilisations successives. Le texte de l’autorité cite explicitement des sources possibles de données, comme les listes électorales ou la revente, ce qui suffit à comprendre le risque : dès que l’origine n’est plus directe, la charge de clarté augmente.

Quatrième leçon, l’opposition et la gestion des droits doivent être conçues comme un circuit. Un « STOP » absent, une demande ignorée, et la campagne se retrouve à la fois en infraction et dans l’incapacité de corriger. Ce n’est pas seulement une faute, c’est une perte de contrôle. Les campagnes modernes fonctionnent avec des outils, des envois en masse, parfois des fichiers multiples. Sans procédure, l’organisation ne sait plus où se trouvent les données, qui les a, ni comment arrêter l’usage.

Cinquième rappel, la sécurité opérationnelle la plus basique compte. L’épisode du courriel sans « cci » montre qu’une fuite peut naître d’un acte banal. Dans le champ politique, où l’exposition peut être sensible, divulguer une appartenance ou une proximité partisane, même indirectement, peut entraîner des conséquences disproportionnées. La CNIL qualifie ces informations de sensibles, et souligne la gravité de leur révélation. Ce rappel vaut comme message plus large : la conformité n’est pas qu’une affaire de formulaires, elle touche à la protection effective des personnes, et donc à la sécurité.

backdoor, Cybersécurité, Espionnage Spy, Justice

Caméras cachées : la CNIL inflige 100 000 € à La Samaritaine

La CNIL sanctionne La Samaritaine pour usage de caméras dissimulées dans ses réserves. Une affaire révélant les dérives technologiques en matière de surveillance interne et de protection des données.

 

Rejoignez ZATAZ sur les réseaux :

Newsletter
WhatsApp
Twitter/X
LinkedIn
YouTube
Google News
Aucun spam – Désinscription en un clic – Vie privée respectée

La Commission nationale de l’informatique et des libertés (CNIL) a infligé une amende de 100 000 € à La Samaritaine, grand magasin parisien, pour avoir utilisé des caméras cachées dans ses zones de stockage. L’autorité a estimé que ces dispositifs, dissimulés dans de faux détecteurs de fumée et capables d’enregistrer le son, violaient les règles du Règlement général sur la protection des données (RGPD). Les salariés n’avaient pas été informés de la surveillance, et aucune analyse d’impact n’avait été réalisée. Cette affaire illustre les tensions croissantes entre sécurité interne et respect des droits fondamentaux à l’ère numérique.

Une surveillance dissimulée dans les réserves du magasin

Le dossier commence par une découverte en apparence anodine. Dans les zones de stockage de La Samaritaine, rénovée et rouverte au public en 2021, des dispositifs de surveillance avaient été installés. Contrairement aux caméras classiques visibles à l’entrée ou dans les espaces de vente, celles-ci ne se repéraient pas. Elles étaient intégrées dans de faux boîtiers de détecteurs de fumée, positionnés au plafond. Leur apparence inoffensive masquait une capacité d’enregistrement vidéo et sonore.

Selon l’enquête de la CNIL, ces caméras avaient pour objectif de surveiller les flux de marchandises et les activités du personnel dans les réserves. L’enseigne n’avait toutefois pas pris les mesures nécessaires pour garantir la transparence de cette surveillance. Les salariés, directement concernés, n’avaient reçu aucune information préalable. Les visiteurs ou prestataires extérieurs qui pouvaient également pénétrer dans ces espaces n’étaient pas davantage avertis.

La CNIL a jugé que ce dispositif de surveillance constituait une atteinte au droit fondamental à la protection des données personnelles. Le caractère dissimulé des caméras accentuait la gravité de l’infraction.

 

⚠️ Êtes-vous une proie facile ?⚠️  ️

Scanner de menaces ZATAZ -> identifiez vos expositions avant l’attaque✅ Scanner mes risques
Confidentiel • Instantané • Sécurisé • 100 % Made in France

Des manquements multiples au RGPD

L’autorité de contrôle a identifié plusieurs manquements au Règlement général sur la protection des données. Le premier concerne l’absence de transparence. Toute installation de vidéosurveillance doit être signalée clairement aux personnes filmées, ce qui n’était pas le cas. Le deuxième point tient à l’absence d’analyse d’impact, pourtant obligatoire pour des dispositifs susceptibles de générer un risque élevé pour les droits et libertés des personnes. Une telle analyse aurait permis de mesurer les risques et de définir des mesures correctrices.

Le troisième manquement porte sur la proportionnalité. La CNIL estime que le recours à des caméras cachées ne peut être justifié que dans des cas exceptionnels, par exemple lors d’enquêtes ciblées et temporaires. Ici, le dispositif était permanent et concernait l’ensemble du personnel circulant dans les zones de réserve. Enfin, l’autorité a relevé un défaut de base légale, puisque le recours à ce type de surveillance ne pouvait être légitimé par une simple nécessité interne de sécurité ou de gestion.

Ces manquements cumulés ont conduit à une sanction pécuniaire significative. L’amende de 100 000 € reflète la volonté de la CNIL de rappeler aux entreprises que la vidéosurveillance, surtout lorsqu’elle est cachée, ne peut s’affranchir des règles européennes.

Un signal fort pour le monde du travail et la cybersurveillance

Au-delà de la sanction financière, l’affaire La Samaritaine envoie un signal clair. Dans le monde du travail, la surveillance technologique ne cesse de s’étendre. Capteurs, logiciels de suivi d’activité, géolocalisation : les dispositifs sont nombreux. L’installation de caméras cachées illustre une tendance inquiétante, où la frontière entre sécurité et intrusion se brouille.

La CNIL rappelle que la confiance au sein de l’entreprise repose sur la transparence. Le fait de cacher un dispositif de surveillance détruit ce principe et fragilise la relation employeur-salarié. Dans un contexte plus large, cette affaire résonne avec les enjeux de cybersurveillance. Les mêmes logiques de disproportion et d’opacité se retrouvent dans certains usages des technologies de suivi numérique.

En sanctionnant La Samaritaine, la CNIL veut montrer que les entreprises, même prestigieuses, doivent respecter les règles. La mise en conformité ne relève pas d’un simple formalisme administratif. Elle constitue une obligation légale et un garde-fou essentiel contre les abus.

Cette sanction pose une question clé : comment concilier les besoins de sécurité interne avec le respect strict des règles de transparence et de proportionnalité en matière de surveillance numérique ?

Rejoignez ZATAZ sur les réseaux :

Newsletter
WhatsApp
Twitter/X
LinkedIn
YouTube
Google News
Aucun spam – Désinscription en un clic – Vie privée respectée

Cybersécurité, Justice

TikTok s’étouffe en France avec ses cookies

La CNIL a condamné TikTok à une amende de 5 millions d’euros pour avoir enfreint les lois sur les cookies.

Le populaire service d’hébergement de vidéos TikTok a été condamné à une amende de 5 millions d’euros par la Commission Nationale Informatique et des Libertés (CNIL) pour avoir enfreint les règles de consentement aux cookies, ce qui en fait la dernière plate-forme à faire face à des sanctions similaires après Amazon, Google, Meta et Microsoft.

« Les utilisateurs de ‘TikTok ne pouvaient pas refuser les cookies aussi facilement que les accepter et ils n’étaient pas informés de manière suffisamment précise des objectifs des différents cookies« , déclare la CNIL.

Le régulateur a déclaré avoir effectué plusieurs audits entre mai 2020 et juin 2022, constatant que la société appartenant à la société Chinoise ByteDance n’offrait pas une option simple pour refuser tous les cookies au lieu d’un seul clic pour les accepter.

L’option de « refuser tous » les cookies a été introduite par TikTok en février 2022. La CNIL a sanctionné, en ce début d’année, Microsoft et Appel pour des manquements aux règles liées au RGPD.

Cybersécurité, Justice

Les CNIL Européennes montrent les dents face à Google

Les Commissions Informatiques et des Libertés Européennes considèrent que les données collectées par Google sont encore trop mal protégées face à l’espionnage. La France et l’Autriche menacent de nouvelles sanctions contre le géant américain.

Les données utilisées par Google et sa maison mère Alphabet ne seraient pas suffisament protégées, selon plusieurs CNIL Européennes. Pour la France, la Commission Informatique et des Libertés menacent d’interdiction Google Analytics. Enfin pourrions-nous dire. Depuis des années, l’exploitation des informations collectées est illégale. Google Analytics permet d’analyser le comportement des internautes sur internet et la CNIL s’inquiète de la possibilité d’interception par les services secrets américains.

Saisie de plaintes par l’association NOYB, la CNIL, en coopération avec ses homologues européens, a analysé les conditions dans lesquelles les données collectées grâce à cet outil sont transférées vers les États-Unis. La CNIL estime que ces transferts sont illégaux. La Commission estime que les données ne sont pas suffisamment encadrées. Si Google a adopté des mesures supplémentaires pour encadrer les transferts de données dans le cadre de la fonctionnalité Google Analytics, celles-ci ne suffisent pas à exclure la possibilité d’accès (violation des articles 44 et suivants du RGPD) des services de renseignements américains à ces données.

En Autriche, la CNIL locale a déterminé de son côté que Google Analytics violait, lui aussi, le règlement général sur la protection des données. Google Analytics communique les adresses IP des visiteurs de site web aux États-Unis. Les adresses IP représentent des données personnelles car elles permettent de suivre et retrouver une personne.

Autant dire que le défit n’est pas du côté de Google, mais des millions de webmasteurs, administrateurs de site web, utilisateurs de l’outil. Pour continuer à utiliser Google Analytics, tout en se conformant aux exigences du GDPR, la société Cloudflare propose la solution Zaraz (à une lettre prêt sur un clavier, cela fait zataz, comme le blog de référence en cybersécurité zataz.com). L’outil se veut un intermédiaire entre le navigateur et le serveur tiers.

Si l’on reprend l’exemple de Google Analytics, lors de la connexion à un site web, Zaraz chargera les outils dans le cloud en utilisant la plateforme Workers de la société américaine. En procédant ainsi, il n’y aura absolument aucune communication entre le navigateur et le point d’accès de Google. Les IP européennes sont ainsi bloquées en dehors de l’UE.

Par défaut, Zaraz ne sauvegarderait aucune information sur l’utilisateur final, à l’exception de la journalisation des erreurs. A noter que cet outil gère aussi d’autres traceurs comme ceux de Google Ads, Bing, Facebook pixel, Linkedin, etc.

Communiqué de presse

Suspension de l’utilisation des drones pour contrôler le déconfinement à Paris par le Conseil d’Etat : les contrôles de la CNIL

Par une ordonnance de référé rendue le 18 mai 2020, le Conseil d’État a enjoint à « l’État de cesser, sans délai, de procéder aux mesures de surveillance par drone, du respect, à Paris, des règles de sécurité sanitaire applicables à la période de déconfinement ».

Le Conseil d’État a estimé que, du fait de la possibilité de zoomer et d’identifier des personnes physiques, les dispositifs utilisés par la préfecture de police de Paris étaient soumis aux règles protégeant les données personnelles. Il a jugé que ces drones étaient utilisés en dehors du cadre prévu par la loi Informatique et Libertés du 6 janvier 1978 et portaient une atteinte « grave et manifestement illégale au droit au respect de la vie privée ».

Depuis plusieurs semaines, la CNIL s’est interrogée sur ces pratiques. Elle a diligenté des contrôles auprès du ministère de l’Intérieur concernant l’usage de drones dans plusieurs villes. Ces contrôles visent des services de la police nationale et de la gendarmerie. Des vérifications similaires sont effectuées auprès de plusieurs communes dont les polices municipales ont elles aussi, semble-t-il, eu recours à des drones.

Ces investigations portent tant sur la situation actuelle que sur ce qui s’est passé durant la période de confinement. Les premières demandes d’information à l’initiative de la CNIL datent du 23 avril 2020 et sont en cours d’instruction, en l’attente notamment des éléments de réponse du ministère de l’Intérieur.

La CNIL prendra position sur cette question à l’issue des procédures de contrôle en cours.

loi, Mise à jour

Droit au déréférencement

Le 6 décembre 2019, le Conseil d’État a rendu d’importantes décisions relatives à des demandes de déréférencement de résultats faisant apparaître des données sensibles.

Le droit au déréférencement permet à toute personne de demander à un moteur de recherche de supprimer certains résultats qui apparaissent à partir d’une requête faite sur ses nom et prénom. Cette suppression ne signifie pas l’effacement de l’information sur le site internet source.

Le 24 septembre 2019, la Cour de justice de l’Union européenne (CJUE) avait rendu un arrêt apportant des précisions sur les conditions dans lesquelles les personnes peuvent obtenir le déréférencement d’un lien apparaissant dans un résultat de recherche lorsque la page auquel le lien renvoie contient des informations relatives à des données sensibles (par exemple, leur religion, leur opinion politique) ou à une condamnation pénale.

Sur cette base, le Conseil d’État a, par 13 décisions rendues le 6 décembre 2019, apporté d’importantes précisions sur la mise en œuvre du droit au déréférencement. Le Conseil d’État indique que pour chaque demande de déréférencement, l’intérêt du public à avoir accès à cette information doit être mis en balance avec trois grandes catégories de critères :

les caractéristiques des données en cause : contenu des informations, leur date de mise en ligne, leur source, etc. ;
la notoriété et la fonction de la personne concernée ;

les conditions d’accès à l’information en cause : la possibilité pour le public d’y accéder par d’autres recherches, le fait que l’information ait été manifestement rendue publique par la personne concernée, etc.

Si les informations publiées sont des données dites « sensibles » (religion, orientation sexuelle, santé, etc.), elles doivent faire l’objet d’une protection particulière et donc, dans la mise en balance, d’une pondération plus importante. Le déréférencement ne pourra être refusé que si ces informations sont « strictement nécessaires » à l’information du public. En revanche, si ces données ont été manifestement rendues publiques par la personne concernée, leur protection particulière disparaît.

Par ailleurs, s’agissant des données relatives à une procédure pénale, comme la CJUE, le Conseil d’État indique que l’exploitant d’un moteur de recherche peut être tenu d’aménager la liste des résultats en vue d’assurer que le premier de ces résultats au moins mène à des informations à jour pour tenir compte de l’évolution de la procédure (par exemple, dans l’hypothèse où, après avoir été condamnée en première instance, une personne bénéficie d’une relaxe en appel).

La CNIL prend acte de ces précisions dans les informations publiées sur son site internet, notamment dans la FAQ décrivant les conséquences pratiques de ces décisions sur les personnes concernées, ainsi que dans l’instruction des centaines de demandes de déréférencement qu’elle reçoit tous les ans.

Les textes de référence
Arrêt de la Cour de justice de l’Union européenne du 24 septembre 2019 dans l’affaire C-136/17
13 décisions relatives au droit à l’oubli prises par le Conseil d’État le 6 décembre 2019

Base de données, Communiqué de presse, RGPD

Collectivités territoriales : un guide de sensibilisation au RGPD

Afin d’accompagner les collectivités territoriales dans leur mise en conformité au RGPD, la CNIL a élaboré un guide de sensibilisation disponible sur son site web.

Les collectivités territoriales traitent de nombreuses données personnelles, que ce soit pour assurer la gestion des services publics dont elles ont la charge (état civil, inscriptions scolaires, listes électorales, etc.), la gestion de leurs ressources humaines, la sécurisation de leurs locaux (contrôle d’accès par badge, vidéosurveillance) ou encore leur site web. Cette tendance ne fera que se renforcer avec la transformation numérique de l’action publique.

Dans ce contexte, le respect des règles de protection des données constitue aujourd’hui un facteur de transparence et de confiance à l’égard des citoyens et des agents, qui sont de plus en plus sensibles à la protection de leurs données. C’est aussi un gage de sécurité juridique pour les élus responsables des fichiers et des applications utilisés au sein de leur collectivité.

Les principes du règlement général sur la protection des données (RGPD) s’inscrivent dans la continuité de la loi Informatique et Libertés de 1978. Malgré cela, la CNIL est consciente que la mise en conformité au RGPD peut parfois être complexe, et que l’importance des enjeux justifie un appui spécifique de sa part.

Aussi, afin d’accompagner les collectivités territoriales dans leur mise en conformité au RGPD, la CNIL a élaboré un guide de sensibilisation.

Quel plan d’action pour se mettre en conformité ?

Ce guide s’adresse prioritairement aux communes de petite ou de moyenne taille, ainsi qu’à leurs groupements intercommunaux, ne disposant pas nécessairement en interne de ressources dédiées spécifiquement à la protection des données. Il propose des clés de compréhension des grands principes, des réflexes à acquérir, un plan d’action pour se mettre en conformité ainsi que des fiches pratiques.

Il évoque les conditions de désignation du délégué à la protection des données afin que chaque collectivité puisse identifier la modalité la plus adaptée à sa situation.

Pour élaborer ce guide, la CNIL s’est rapprochée des principales associations regroupant les différents niveaux de collectivités et autres organismes intervenant auprès du secteur public local. Cet appui permet d’apporter des réponses concrètes et adaptées aux collectivités.

Ce guide actuellement envoyé en version papier à toutes les mairies de Métropole et d’Outre-Mer.

En complément de ce guide de sensibilisation, des fiches techniques consacrées aux principaux sujets de préoccupation des collectivités ont également été publiées sur le site web de la CNIL.

La CNIL proposera par ailleurs un cours en ligne gratuit sur le RGPD et les collectivités.

Base de données, Communiqué de presse, Cybersécurité, Entreprise, Fuite de données, Justice, loi, RGPD, Securite informatique

SERGIC : sanction de 400 000€ pour atteinte à la sécurité des données et non-respect des durées de conservation

La formation restreinte de la CNIL a prononcé une sanction de 400 000 euros à l’encontre de la société SERGIC pour avoir insuffisamment protégé les données des utilisateurs de son site web et mis en œuvre des modalités de conservation des données inappropriées.

La société SERGIC est spécialisée dans la promotion immobilière, l’achat, la vente, la location et la gestion immobilière. Pour les besoins de son activité, elle édite le site web www.sergic.com. Ce dernier permet notamment aux candidats à la location de télécharger les pièces justificatives nécessaires à la constitution de leur dossier.

En août 2018, la CNIL a reçu une plainte d’un utilisateur du site indiquant avoir pu accéder, depuis son espace personnel sur le site, à des documents enregistrés par d’autres utilisateurs en modifiant légèrement l’URL affichée dans le navigateur. Un contrôle en ligne réalisé le 7 septembre 2018 a permis de constater que des documents transmis par les candidats à la location étaient librement accessibles, sans authentification préalable. Parmi ces documents figuraient des copies de cartes d’identité, de cartes Vitale, d’avis d’imposition, d’attestations délivrées par la caisse d’allocations familiales, de jugements de divorce, de relevés de compte ou encore d’identité bancaire.

Le jour même de son contrôle, la CNIL a alerté la société de l’existence de ce défaut de sécurité et de la violation de données personnelles consécutive. Quelques jours plus tard, un contrôle sur place a été réalisé dans les locaux de la société. A cette occasion, il est apparu que la société avait connaissance de la vulnérabilité depuis le mois de mars 2018 et que, si elle avait entamé des développements informatiques pour les corriger, ce n’est que le 17 septembre 2018 que la correction totale est devenue effective.

Sur la base des investigations menées, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a constaté deux manquements au règlement général sur la protection des données (RGPD).

400 000 euros !

Tout d’abord, la formation restreinte de la CNIL a considéré que la société SERGIC a manqué à son obligation de préserver la sécurité des données personnelles des utilisateurs de son site, prévue par l’article 32 du RGPD. La société n’avait pas mis en place de procédure d’authentification des utilisateurs du site permettant de s’assurer que les personnes accédant aux documents étaient bien celles à l’origine de leur téléchargement, alors qu’il s’agissait d’une mesure élémentaire à prévoir. Ce manquement était aggravé d’une part, par la nature des données rendues accessibles, et d’autre part, par le manque particulier de diligence de la société dans sa correction : la vulnérabilité n’a été définitivement corrigée qu’au bout de 6 mois et aucune mesure d’urgence visant à limiter l’impact de la vulnérabilité n’a été prise dans l’attente.

Ensuite, la formation restreinte a constaté que la société conservait sans limitation de durée en base active l’ensemble des documents transmis par les candidats n’ayant pas accédé à location au-delà de la durée nécessaire à l’attribution de logements.

Conservation des données

Or, la formation restreinte a rappelé que, par principe, la durée de conservation des données personnelles doit être déterminée en fonction de la finalité du traitement. Lorsque cette finalité (par exemple, la gestion des candidatures) est atteinte, et qu’aucune autre finalité ne justifie la conservation des données en base active, les données doivent soit être supprimées, soit faire l’objet d’un archivage intermédiaire si leur conservation est nécessaire pour le respect d’obligations légales ou à des fins pré-contentieuses ou contentieuses. Dans ce cas, les données doivent être placées en archivage intermédiaire, par exemple dans une base de données distincte. Là encore, la durée de cet archivage doit être limitée au strict nécessaire.

La formation restreinte a prononcé une amende de 400 000 euros, et décidé de rendre publique sa sanction. La formation restreinte a notamment tenu compte de la gravité du manquement, du manque de diligence de la société dans la correction de la vulnérabilité et du fait que les documents accessibles révélaient des aspects très intimes de la vie des personnes. Elle a toutefois pris en compte, également, la taille de la société et sa surface financière. (Legifrance)