{"id":5487,"date":"2019-05-16T22:47:17","date_gmt":"2019-05-16T20:47:17","guid":{"rendered":"https:\/\/www.agilit.law\/?p=5487"},"modified":"2021-10-27T00:30:01","modified_gmt":"2021-10-26T22:30:01","slug":"sanctions-de-la-cnil-le-montant-de-la-condamnation-depend-notamment-de-la-reactivite-de-lorganisme-controle","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/sanctions-de-la-cnil-le-montant-de-la-condamnation-depend-notamment-de-la-reactivite-de-lorganisme-controle\/","title":{"rendered":"Sanctions de la Cnil : le montant de la condamnation d\u00e9pend notamment de la r\u00e9activit\u00e9 de l\u2019organisme contr\u00f4l\u00e9 !"},"content":{"rendered":"

Compte-tenu du caract\u00e8re exponentiel de l\u2019\u00e9volution du montant des sanctions pouvant \u00eatre prononc\u00e9es par la Cnil (Commission nationale de l’informatique et des libert\u00e9s), les recours devant le Conseil d\u2019Etat pour contester les d\u00e9cisions de cette derni\u00e8re et remettre en cause la proportionnalit\u00e9 des montants des sanctions prononc\u00e9es risquent de se multiplier (et ce d\u2019autant que, depuis l\u2019entr\u00e9e en application du R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es<\/a> (RGPD), ces sanctions peuvent d\u00e9sormais s\u2019\u00e9lever jusqu\u2019\u00e0 20 millions d\u2019euros ou 4 % du chiffre d\u2019affaires annuel mondial). C\u2019est ce contentieux de la proportionnalit\u00e9 du montant des sanctions prononc\u00e9es par la Cnil que viennent illustrer deux d\u00e9cisions r\u00e9centes du Conseil d\u2019Etat (bien que rendues sous l\u2019empire de la r\u00e9glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel avant l\u2019entr\u00e9e en application du RGPD), apportant des pr\u00e9cisions opportunes sur les crit\u00e8res pris en compte pour appr\u00e9cier la (dis)proportionnalit\u00e9 de telles sanctions.<\/p>\n

 <\/p>\n

Des d\u00e9fauts de s\u00e9curisation de sites internet sanctionn\u00e9s par la Cnil<\/u><\/strong><\/h3>\n

Par deux d\u00e9lib\u00e9rations distinctes du 21 juin 2018, , la Cnil a respectivement sanctionn\u00e9 Optical Center et l\u2019Association pour le D\u00e9veloppement des Foyers (ADEF) sur le fondement d\u2019un manquement \u00e0 leur obligation de s\u00e9curit\u00e9 et de confidentialit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel trait\u00e9es par ces derni\u00e8res.<\/p>\n

Dans chacune de ces affaires, des contr\u00f4les men\u00e9s par la Cnil avaient permis de r\u00e9v\u00e9ler qu\u2019une modification du chemin de l\u2019URL affich\u00e9e dans le navigateur pouvait permettre \u00e0 un internaute d\u2019acc\u00e9der de mani\u00e8re non autoris\u00e9e \u00e0 des donn\u00e9es \u00e0 caract\u00e8re personnel d\u2019autres utilisateurs des sites internet respectifs d\u2019Optical Center et de l\u2019ADEF.<\/p>\n

 <\/p>\n

Dans la premi\u00e8re affaire, le d\u00e9faut de s\u00e9curisation du site internet d\u2019Optical Center permettait \u00e0 tout internaute connect\u00e9 \u00e0 son espace personnel en ligne sur le site web de cette derni\u00e8re d\u2019acc\u00e9der \u00e0 des centaines de factures d\u2019autres clients de cette soci\u00e9t\u00e9, ces factures contenant des donn\u00e9es telles que les nom, pr\u00e9nom, adresse postale ainsi que des donn\u00e9es de sant\u00e9 (correction ophtalmologique) ou encore, dans certains cas, le num\u00e9ro de s\u00e9curit\u00e9 sociale des personnes concern\u00e9es. L\u2019acc\u00e8s non autoris\u00e9 concernait donc notamment des donn\u00e9es d\u2019une particuli\u00e8re sensibilit\u00e9. La Cnil a condamn\u00e9 Optical Center \u00e0 une amende de 250\u00a0000 euros<\/a> consid\u00e9rant qu\u2019Optical Center aurait d\u00fb porter une attention particuli\u00e8re \u00e0 la question de la restriction d\u2019acc\u00e8s aux documents des clients \u00e0 partir de leur espace personnel. En effet, la mise en place d\u2019une fonctionnalit\u00e9 permettant de v\u00e9rifier qu\u2019un internaute s\u2019est bien authentifi\u00e9 \u00e0 son espace personnel avant de lui donner acc\u00e8s \u00e0 ses documents en ligne est une pr\u00e9caution d\u2019usage essentielle<\/em><\/strong> et la Cnil a consid\u00e9r\u00e9 qu\u2019Optical Center ne pouvait ignorer les risques li\u00e9s \u00e0 un tel d\u00e9faut de s\u00e9curisation de son site internet, et ce d\u2019autant qu\u2019une sanction de 50\u00a0000 euros avait d\u00e9j\u00e0 \u00e9t\u00e9 prononc\u00e9e \u00e0 son \u00e9gard en raison d\u2019un d\u00e9faut de s\u00e9curit\u00e9 en 2015.<\/p>\n

 <\/p>\n

Dans la seconde affaire, le d\u00e9faut de s\u00e9curisation du site internet de l\u2019ADEF permettait \u00e0 tout internaute d\u2019acc\u00e9der \u00e0 des documents enregistr\u00e9s par les personnes sollicitant les services de l\u2019ADEF en vue de b\u00e9n\u00e9ficier d\u2019un logement en r\u00e9sidences sociales ou en foyers\u00a0: avis d\u2019imposition, passeports, cartes d\u2019identit\u00e9, titres de s\u00e9jour, bulletins de salaires, attestations de paiement de la CAF. La Cnil a condamn\u00e9 l\u2019ADEF \u00e0 une amende de 75\u00a0000 euros <\/a>consid\u00e9rant que l\u2019ADEF aurait d\u00fb mettre en place un dispositif permettant d\u2019\u00e9viter la pr\u00e9visibilit\u00e9 des URL (par exemple en utilisant des URL compos\u00e9es d\u2019une cha\u00eene de caract\u00e8res al\u00e9atoires et ne comportant pas la d\u00e9nomination de la pi\u00e8ce fournie par la personne telle que \u00ab carte-identit\u00e9 \u00bb, \u00ab cni \u00bb ou \u00ab avis imposition \u00bb) et qu\u2019elle aurait d\u00fb pr\u00e9voir une proc\u00e9dure d\u2019identification ou d\u2019authentification des utilisateurs de son site internet afin de prot\u00e9ger les documents t\u00e9l\u00e9vers\u00e9s par les demandeurs. Cette d\u00e9cision vient d\u2019ailleurs rappeler que la r\u00e9glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel s\u2019applique \u00e0 tout organisme mettant en \u0153uvre un traitement de telles donn\u00e9es, y compris aux associations \u00e0 but non lucratif.<\/em><\/strong><\/p>\n

 <\/p>\n

Contr\u00f4le de la proportionnalit\u00e9 du montant des sanctions par le Conseil d\u2019Etat<\/u><\/strong><\/h3>\n

Dans les affaires pr\u00e9cit\u00e9es, chacun des organismes mis en cause a form\u00e9 un recours devant le Conseil d\u2019Etat contre ces d\u00e9cisions de condamnation, arguant notamment de la disproportion des sanctions prononc\u00e9es par la Cnil.<\/p>\n

Dans l\u2019affaire mettant en cause Optical Center, le Conseil d\u2019Etat a r\u00e9form\u00e9 la d\u00e9lib\u00e9ration de la Cnil<\/a> en jugeant le montant de la sanction de 250 000 euros disproportionn\u00e9, consid\u00e9rant que la Cnil aurait d\u00fb tenir compte, pour d\u00e9terminer le montant de la condamnation, de<\/em><\/strong> la c\u00e9l\u00e9rit\u00e9 avec laquelle la soci\u00e9t\u00e9 Optical Center a apport\u00e9 les mesures correctrices de nature \u00e0 rem\u00e9dier aux manquements constat\u00e9s. En effet, Optical Center avait, deux jours apr\u00e8s le contr\u00f4le de la Cnil, ajout\u00e9 une fonctionnalit\u00e9<\/em><\/strong> permettant de s\u2019assurer qu\u2019un client \u00e9tait effectivement connect\u00e9 \u00e0 son espace personnel avant de lui fournir en ligne les documents le concernant. En cons\u00e9quence, le Conseil d\u2019Etat a r\u00e9duit le montant de la sanction prononc\u00e9e \u00e0 l\u2019encontre d\u2019Optical Center \u00e0 200 000 euros.<\/p>\n

En revanche, dans l\u2019affaire mettant en cause l\u2019ADEF, le Conseil d\u2019Etat a consid\u00e9r\u00e9 que la sanction de 75\u00a0000 euros \u00e9tait proportionn\u00e9e<\/a> eu \u00e9gard \u00e0 la nature et \u00e0 la gravit\u00e9 du manquement constat\u00e9 et au d\u00e9lai avec lequel l\u2019ADEF a apport\u00e9 les mesures correctrices de nature \u00e0 rem\u00e9dier \u00e0 ce manquement, lesquelles n\u2019ont \u00e9t\u00e9 d\u00e9ploy\u00e9es qu\u2019une semaine apr\u00e8s le contr\u00f4le de la Cnil.<\/p>\n

 <\/p>\n

La r\u00e9activit\u00e9 de l\u2019organisme contr\u00f4l\u00e9 pour rem\u00e9dier au manquement comme crit\u00e8re de modulation des sanctions prononc\u00e9es par la Cnil<\/u><\/strong><\/h3>\n

L\u2019article 47 de la loi Informatique et Libert\u00e9s<\/a>, telle qu\u2019en vigueur au moment des faits dans les affaires susvis\u00e9es, \u00e9non\u00e7ait un certain nombre de crit\u00e8res permettant \u00e0 la Cnil de d\u00e9terminer le montant des sanctions \u00e0 prononcer, \u00e9tant pr\u00e9cis\u00e9 que celui-ci doit \u00eatre proportionn\u00e9 \u00e0 la gravit\u00e9 du manquement commis et aux avantages tir\u00e9s de ce manquement<\/em><\/strong>. Ce montant prend en compte le caract\u00e8re intentionnel ou de n\u00e9gligence du manquement, les mesures prises par l\u2019organisme pour att\u00e9nuer les dommages subis par les personnes concern\u00e9es, le degr\u00e9 de coop\u00e9ration avec la Cnil afin de rem\u00e9dier au manquement et d’att\u00e9nuer ses effets n\u00e9gatifs \u00e9ventuels, les cat\u00e9gories de donn\u00e9es \u00e0 caract\u00e8re personnel concern\u00e9es et la mani\u00e8re dont le manquement a \u00e9t\u00e9 port\u00e9 \u00e0 la connaissance de la Cnil.<\/p>\n

C\u2019est sur le fondement de ces crit\u00e8res, et en particulier du crit\u00e8re li\u00e9 aux mesures prises par l\u2019organisme contr\u00f4l\u00e9 pour att\u00e9nuer les dommages subis par les personnes concern\u00e9es, et au degr\u00e9 de coop\u00e9ration de l\u2019organisme contr\u00f4l\u00e9 pour rem\u00e9dier au manquement et att\u00e9nuer ses effets n\u00e9gatifs \u00e9ventuels, que le Conseil d\u2019Etat a donc pu appr\u00e9cier la proportionnalit\u00e9 des sanctions prononc\u00e9es par la Cnil dans les deux affaires susvis\u00e9es.<\/p>\n

Il est \u00e0 noter que ces crit\u00e8res sont repris \u00e0 l\u2019article 83 du RGPD (applicable depuis le 25 mai 2018) parmi les crit\u00e8res que les autorit\u00e9s de contr\u00f4le doivent appr\u00e9cier lors de la d\u00e9termination du montant des sanctions administratives qu\u2019elles peuvent prononcer en cas de manquement \u00e0 la r\u00e9glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n

 <\/p>\n

Pr\u00e9cautions \u00e0 prendre en cas de contr\u00f4le de la Cnil<\/u><\/strong><\/h3>\n

Il r\u00e9sulte de ce qui pr\u00e9c\u00e8de qu\u2019outre <\/em><\/strong>le d\u00e9ploiement de mesures techniques et organisationnelles appropri\u00e9es pour assurer la s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel qu\u2019il traite, ce qui constitue un pr\u00e9alable indispensable, tout organisme traitant de telles donn\u00e9es se doit d\u2019anticiper et d\u2019\u00eatre \u00e0 m\u00eame de r\u00e9agir imm\u00e9diatement suite \u00e0 un \u00e9ventuel contr\u00f4le de la Cnil qui r\u00e9v\u00e9lerait des manquements<\/em><\/strong> \u00e0 la r\u00e9glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel, et ce afin de corriger sans d\u00e9lai lesdits manquements. En effet, comme l\u2019illustrent les affaires pr\u00e9cit\u00e9es, la proactivit\u00e9 et le d\u00e9lai d\u2019intervention de l\u2019organisme contr\u00f4l\u00e9 pour rem\u00e9dier aux manquements, et plus g\u00e9n\u00e9ralement sa bonne coop\u00e9ration, sont des crit\u00e8res pris en compte par la Cnil dans le cadre du prononc\u00e9 d\u2019une sanction, a minima s\u2019agissant de la d\u00e9termination de son montant.<\/p>\n

En cas de recours devant le Conseil d\u2019Etat portant sur la remise en cause de la proportionnalit\u00e9 de la sanction ainsi prononc\u00e9e, ce dernier pourra \u00e9galement \u00eatre amen\u00e9 \u00e0 examiner ces crit\u00e8res pour d\u00e9terminer si ladite sanction est en corr\u00e9lation avec les manquements constat\u00e9s et avec la r\u00e9activit\u00e9 de l\u2018organisme concern\u00e9, ainsi qu’\u00e0 mettre en \u0153uvre les mesures correctrices ad\u00e9quates.<\/p>\n

 <\/p>\n

Ainsi, \u00e0 la suite d\u2019un contr\u00f4le de la Cnil, il est indispensable de d\u00e9ployer imm\u00e9diatement les actions suivantes<\/em><\/strong>\u00a0:<\/p>\n