RGPD : Premières frappes de la CNIL
Délibération n°SAN-2019-005 du 28 mai 2019
Le 28 mai 2019, la CNIL a prononcé une sanction de 400 000€ à l’encontre de l’agence de location et vente immobilière SERGIC, pour faille de sécurité et durée de conservation excessive. Celle-ci offrait aux utilisateurs de son site internet un espace personnel dédié afin qu’ils déposent les différents éléments nécessaires à la constitution d’un dossier (copie de carte d’identité, de contrats de travail, d’avis d’imposition ou encore de relevés d’identité bancaire).
Suite à la plainte d’un utilisateur, la CNIL a procédé à un contrôle en ligne ainsi qu’à un contrôle sur place. La vulnérabilité de sécurité signalée permettait aux candidats par une simple modification de l’URL de leur espace dédié d’accéder aux documents d’autres candidats, et ce sans authentification préalable requise. Or les URL prévisibles sont une vulnérabilité fréquente et la mise en place d’une procédure d’authentification des utilisateurs est une mesure élémentaire de sécurité, vulnérabilité dont SERGIC avait connaissance depuis mars 2018 et qui n’a été effectivement corrigée que le 17 septembre 2018.
La CNIL a considéré que SERGIC avait manqué à son obligation de sécurité relative aux données personnelles des utilisateurs de son site, aggravée par la nature de données accessibles et délai de correction de 6 mois mis en œuvre par SERGIC, sans mesure provisoire d’urgence prise dans l’intervalle.
SERGIC conservait également en base active et sans limitation de durée lesdits documents transmis par les candidats n’ayant pas accédé à la location. Or la durée de conservation des données personnelles doit être limitée dans le temps et déterminée en fonction de la finalité du traitement, ici l’attribution de logements, pour laquelle les données personnelles sont recueillies. Une fois la finalité atteinte, les données personnelles doivent être supprimées ou être archivées de manière distincte et pour une durée spécifique en cas d’obligation légale notamment.
