Bonjour à tous,

Sanction :

La CNIL a publié ce matin la sanction de 250 000 euros qu'elle a infligé au GIE Infogreffe.

Le lien : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000046280956?init=true&page=1&query=san-2022-018&searchField=ALL&tab_selection=all

Le communiqué : https://www.cnil.fr/fr/sanction-de-250-000-euros-lencontre-dinfogreffe

Manquements :

sécurité : mots de passe de 8 caractères max sans mesures complémentaires pour 3,7 millions de comptes
conservation : 25% de comptes conservés au delà de la durée fixée et aucun processus d'anonymisation mis en oeuvre

Faits intéressants :

une plainte de décembre 2020 est l'origine du contrôle en ligne
dans le contrôle en ligne, la charte de confidentialité a été récupérée
elle cite ses propres sanctions en tant que référence pour l'obligation de sécurité des mots de passe (Les délibérations n° SAN-2019-006 du 13 juin 2019 et n° SAN-2019-007 du 18 juillet 2019 visent notamment l’insuffisante robustesse des mots de passe ainsi que leur transmission aux clients de l’organisme par courriel, en clair, après la création du compte).
elle rappelle que l'obligation n'est pas nécessairement sanctionnée au moment T mais aussi par le passé (la période couverte par l'absence de sécurité des mots de passe remontait à 2002
elle indique que les recommandations mots de passe et guide de la sécurité constituent l'état de l'art et que, bien que non impératifs, ils constituent un référentiel pertinent pour évaluer les risques de sécurité
elle rappelle que l'obligation de sécurité implique de garantir la sécurité en fonction des risques. Il importe peu que les données aient fait l'objet d'une violation. L'absence de mesures suffisantes pour contrecarrer les risques constitue le manquement et le rend sanctionnable.
la durée de conservation annoncée par l'organisme dans sa charte de confidentialité est celle qui le lie. Il doit la respecter.
la durée de conservation doit être établie par finalité et un passage en archivage intermédiaire doit être réalisé
peu importe que le sous-traitant n'aie pas respecté ses instructions, il fallait suivre l'exécution du contrat et exercer un contrôle

Qu'en retenir ?

bien traiter les demandes des usagers en amont pour éviter les plaintes
revoir sa politique de confidentialité régulièrement
vérifier la cohérence avec les durées de conservation existantes
auditer régulièrement son site web et ses formulaires de connexion avec mot de passe
quand on fait appel à un sous-traitant, assurer le suivi des instructions

N'hésitez à ajouter vos propres commentaires