Le porteur de risques vient d’écoper une sanction de 180 000 euros pour atteinte à la sécurité des données des clients. La formation restreinte de la CNIL estime qu’elle a insuffisamment protégé les données des utilisateurs de son site web.

L’intermédiaire et concepteur de contrats d’assurance automobile avait mis  au point un site web support sur lequel ses clients peuvent formuler des devis, souscrire des contrats ou accéder à leur espace personnel.

En juin 2018, la CNIL a reçu un signalement d’un client de la société indiquant que, à partir de son compte, il avait pu accéder aux données personnelles d’autres clients. Un contrôle en ligne a permis de constater que les comptes des clients de la société étaient accessibles via des liens hypertextes référencés sur un moteur de recherche. Les documents et données des clients étaient également accessibles en modifiant les numéros figurant à la fin des adresses URL affichées dans le navigateur. Ces documents comportaient des copies de permis de conduire, de cartes grises, des relevés d’identité bancaire ainsi que des documents permettant de savoir si une personne avait fait l’objet d’un retrait de permis ou commis un délit de fuite.

Le même jour, la CNIL a alerté la société de ce défaut de sécurité et de la violation de données qui en résultait, et lui a demandé d’y remédier. Quelques jours plus tard, la société a informé la CNIL que des mesures avaient été prises. Un contrôle sur place a alors été réalisé dans les locaux de la société. Il a permis de constater que : les mesures prises n’étaient pas suffisantes pour empêcher le référencement ; les mots de passe de connexion aux espaces personnels, dont le format était imposé par la société, correspondaient à la date de naissance des clients, ce format étant par ailleurs indiqué sur les formulaires de connexion ; après la création de leur compte, l’identifiant et le mot de passe de connexion étaient transmis aux clients par courriel et mentionnés en clair dans le corps du message.

Sur la base des investigations menées, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a considéré que la société avait manqué à son obligation de sécurisation des données personnelles prévue par l’article 32 du règlement général sur la protection des données (RGPD). La Cnil a estimé que la société aurait dû s’assurer que chaque personne souhaitant accéder à un document était bien habilitée à le consulter ; le référencement par les moteurs de recherche aurait pu être évité à l’aide d’un fichier « robot.txt » par exemple ; la société aurait dû imposer aux utilisateurs d’utiliser des mots de passe plus robustes et ne pas les transmettre en clair par courriel.

Face à ces manquements, la formation restreinte a prononcé une amende de 180 000 euros et décidé de rendre publique sa sanction. Elle a notamment tenu compte de la gravité du manquement, en raison de la nature des données et des documents en cause (pièces d’identité, informations relatives à des infractions, données bancaires etc.). Elle a également tenu compte du nombre de personnes concernées, le défaut de sécurité ayant affecté les comptes de plusieurs milliers de clients et de personnes ayant résilié leur contrat avec la société. La formation restreinte a toutefois pris en compte la réactivité de la société dans la correction du défaut de sécurité et sa coopération avec les services de la CNIL.

Emmanuel Mayega
A propos de l'auteur

Directeur de la rédaction et de la publication du magazine Assurance & Banque 2.0 et de ce site, Emmanuel a une connaissance accrue de l’intégration des technologies dans l’assurance, la banque et la santé. Ancien rédacteur en chef de ce magazine, il a pendant plus d'une décennie été rédacteur en chef adjoint d’Assurance & Informatique Magazine. ll est un observateur affûté du secteur. Critique, il se définit comme esprit indépendant et provocateur, s’il le faut.

Site web : http://www.assurbanque20.fr

Twitter LinkedIn Google+

Newsletter

Vous n'avez pas le temps suivre l'actualité ? Découvrez nos newsletters gratuites, quotidiennes ou hebdomadaires.

Inscription Newsletter


Le Mensuel

Chaque mois, un regard éclairé et sans concession sur l'actualité de l'Assurance, de la Banque et des Services Financiers.

Découvrir le magazine