RGPD : 1ère sanction dans le courtage
La CNIL vient de prononcer une sanction de 180 000€ à l’encontre d’un cabinet de courtage pour avoir insuffisamment protégé les données des utilisateurs de son site web.
En mai 2018, au moment de l'entrée en vigueur du Règlement général sur la protection des données (RGPD), le gendarme français des données personnelles entendait laisser le temps aux acteurs de l'assurance et en particulier aux cabinets de courtage de s'adapter à cette nouvelle norme. Désormais, la phase d'adaptation ou de clémence semble terminée.
En effet, la Commission nationale de l'informatique et des libertés (CNIL) a sanctionné, le 18 juillet 2019, un cabinet de courtage, Active Assurances, à hauteur de 180 000€, pour « atteinte à la sécurité des données des clients ».
Une sanction prise suite à un signalement
Son site internet, sur lequel les clients peuvent demander des devis, souscrire des contrats, ou encore accéder à leur espace personnelle, est en cause.
« En juin 2018, la CNIL a reçu un signalement d’un client de la société indiquant que, à partir de son compte, il avait pu accéder aux données personnelles d’autres clients », relate la CNIL, organisme public chargé de veiller à la protection des données personnelles contenues dans les fichiers et traitements informatiques ou papiers, aussi bien publics que privés. « Un contrôle en ligne a permis de constater que les comptes des clients de la société étaient accessibles via des liens hypertextes référencés sur un moteur de recherche, poursuit la CNIL. Les documents et données des clients étaient également accessibles en modifiant les numéros figurant à la fin des adresses URL affichées dans le navigateur. Ces documents comportaient des copies de permis de conduire, de cartes grises, des relevés d’identité bancaire ainsi que des documents permettant de savoir si une personne avait fait l’objet d’un retrait de permis ou commis un délit de fuite. »
Le même jour, la CNIL a alerté la société de ce défaut de sécurité et de la violation de données qui en résultait, et lui a demandé d’y remédier.
Quelques jours plus tard, la société a informé la CNIL que des mesures avaient été prises. Un contrôle sur place a alors été réalisé dans les locaux de la société.
Comme le précise la CNIL, « ce contrôle a permis de constater que :
les mesures prises n’étaient pas suffisantes pour empêcher le référencement ;
les mots de passe de connexion aux espaces personnels, dont le format était imposé par la société, correspondaient à la date de naissance des clients, ce format étant par ailleurs indiqué sur les formulaires de connexion ;
après la création de leur compte, l’identifiant et le mot de passe de connexion étaient transmis aux clients par courriel et mentionnés en clair dans le corps du message. »
Sur la base des investigations menées, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a considéré que « la société avait manqué à son obligation de sécurisation des données personnelles prévue par l’article 32 du règlement général sur la protection des données (RGPD) ».
La formation restreinte a considéré que :
la société aurait dû s’assurer que chaque personne souhaitant accéder à un document était bien habilitée à le consulter ;
le référencement par les moteurs de recherche aurait pu être évité à l’aide d’un fichier « robot.txt » par exemple ;
la société aurait dû imposer aux utilisateurs d’utiliser des mots de passe plus robustes et ne pas les transmettre en clair par courriel.
Plusieurs milliers de clients concernés
En conséquence, la formation restreinte a prononcé une amende de 180 000 euros et décidé de rendre publique sa sanction. Elle a notamment tenu compte « de la gravité du manquement », en raison de la nature des données et des documents en cause (pièces d’identité, informations relatives à des infractions, données bancaires etc.). Elle a également tenu compte « du nombre de personnes concernées, le défaut de sécurité ayant affecté les comptes de plusieurs milliers de clients et de personnes ayant résilié leur contrat avec la société ». La formation restreinte a toutefois pris en compte « la réactivité de la société dans la correction du défaut de sécurité et sa coopération avec les services de la CNIL ».
Spécialisé sur les marchés de l’assurance auto et de la complémentaire santé pour les particuliers, le groupe Active Assurances (17,4M€ de CA en 2018, 260 salariés) détient également les sociétés AFI Assurances, rachetée en février 2019, et Wazari Assurances, lancée en juillet 2018.
