Par Gérard Haas et Virgile Servant Volquin
Depuis l’entrée en vigueur du RGPD le 25 mai 2018, et la subséquente réforme de la Cnil en 2019, les pouvoirs de sanction de la Cnil ont été considérablement augmentés. Nous vous les détaillons ici.
En outre, la Cnil fait preuve d’un activisme assumé dans la mise en œuvre de sanctions exemplaires. Elle a ainsi prononcé pour 138,5 millions d’euros d’amende en 2020 contre 51,4 en 2019. Ce montant est principalement constitué de deux sanctions record, l’une contre Google, l’autre contre Amazon.
Sur les quinze sanctions rendues par la Cnil depuis l’application du RGPD, neuf ont été rendues en partie au moins pour non-conformité à l’article 32 du RGPD. Celui-ci prévoit que le responsable du traitement des données est tenu de garantir la sécurité du traitement et en conséquence de :
Le niveau de sécurité est décidé après l’évaluation des risques qui pèse en cas de fuite des données, notamment via la réalisation d’un audit de conformité RGPD.
Deux sources de risque juridique pèsent sur votre entreprise en cas de grave manquement à ses obligations de sécurité.
Pourquoi cette distinction entre le risque et le dommage ?
En droit de la responsabilité, un dommage direct, légitime et certain doit nécessairement être démontré pour engager la responsabilité du responsable de traitement.
En droit administratif, ce n’est pas la Cnil qui subit le dommage, mais les personnes concernées par le traitement de leurs données. La Cnil vise donc à sanctionner le risque potentiel qui repose sur les utilisateurs d’un service dont le responsable de traitement ne respecte pas ses obligations de moyens.
En pratique, le prononcé d’une sanction administrative pour défaut de sécurité est très corrélé à l’existence d’un dommage certain, celui-ci étant le principal moyen d’apprécier la nature et la gravité d’un manquement. La Cnil a à ce titre sanctionné :
Exceptionnellement, la Cnil sanctionne des responsables de traitement pour le risque potentiel de réalisation d’un dommage du fait de la gravité particulière des manquements.
La Cnil prononce donc des sanctions administratives de manière discrétionnaire en fonction des circonstances de l’affaire.
Pourtant, la preuve de la possibilité d’accéder à des données personnelles, comme démontrée lors du contrôle de la Cnil sur le site de la société d’assurance et de l’administrateur ne vaut pas la preuve que les données ont été effectivement téléchargées par un tiers non autorisé.
En réalité, la Cnil sanctionne ici des manquements extrêmement graves du fait de l’insuffisance caractérisée des moyens de sécurité mis en œuvre pour protéger des données très sensibles. Elle présume le dommage du fait de l’existence d’un risque potentiel tellement élevé de fuite des données qu’il est hautement improbable qu’un utilisateur « moyen » n’ait pas réussi à mettre la main sur ces données par le même procédé. Les informations étaient en effet directement référencées et téléchargeables sur le web.
Ces sanctions sont données à titre d’exemple, pour inciter les acteurs à sécuriser correctement leurs données personnelles. Pour des données moins sensibles et des failles de sécurité moins importantes, il est probable que la Cnil choisisse la voie de la pédagogie et préfère une injonction de mettre le traitement en conformité, sauf à ce que le risque potentiel de fuite se soit matérialisé par un dommage.
Ainsi, si vous êtes responsable du traitement de données sensibles, telles que des documents révélant les opinions politiques, l’état de santé ou encore les coordonnées bancaires et personnelles d’une personne, il vous appartient d’être particulièrement au fait de la gestion des risques liés à une fuite de données et de vous conformer aux exigences de sécurité de l’article 32 du RGPD.
***
Le cabinet Haas Avocats vous accompagne dans la protection de vos données. Pour en savoir plus, rendez-vous ici.