Par Stéphane ASTIER et Rachel RUIMY
Le 20 décembre 2018, la CNIL a rendu publique sa décision de sanction pécuniaire de 400.000 euros prononcée à l’encontre de la société UBER FRANCE pour atteinte à la sécurité des données de ses utilisateurs.
Dans cette décision, la CNIL considère que la société UBER n’a pas pris toutes les précautions utiles afin d’empêcher que des tiers non autorisés aient accès aux données à caractère personnel de ses utilisateurs et a manqué à son obligation de sécurité sur le fondement de l’article 34 de la loi Informatique & Libertés.
En novembre 2017, deux pirates ont accédé aux données à caractère personnel de 57 millions d’utilisateurs de cette célèbre plateforme de VTC, dont 1,4 millions sur le territoire français (1,2 million de passagers et 163.000 conducteurs).
En se connectant à la plateforme collaborative « GitHub », espace de travail privé utilisé par les collaborateurs de la société UBER, les attaquants ont pris connaissance d’une clé d’accès inscrite en clair dans un fichier du code source. A partir de celle-ci, ils ont pu se connecter à un compte de service permettant d’accéder et de télécharger les données personnelles des utilisateurs, passagers et conducteurs, et notamment leur nom, prénom, e-mail, ville ou pays de résidence et numéro de téléphone.
La CNIL a considéré que ce manque de précautions généralisé était manifeste dans la mesure où cette attaque a résulté d’un enchainement de négligences.
A ce titre, l’autorité de contrôle a considéré que cette intrusion aurait pu être évitée si UBER avait pris les mesures de sécurité nécessaires et notamment :
Concernant une intrusion également réalisée à partir de GitHub, la CNIL avait prononcé une sanction de 50.000 euros à l’encontre de la société Dailymotion sur le même fondement.
Comme nous vous l’avions déjà indiqué ici, il appert que la CNIL attache une importance particulière à l’obligation d’assurer la sécurité des données, encadrée par l’article 34 de la loi Informatique & Libertés , obligation renforcée par les dispositions de l’article 32 du RGPD.
Pour rappel, le responsable de traitement et le sous-traitant, doivent mettre en œuvre des mesures techniques et organisationnelles permettant de garantir un certain niveau de sécurité.
Comme en témoigne la présente délibération, le seul respect de l’obligation de notification d’une violation de données à caractère personnel sous 72 heures, imposée par l’article 33 du RGPD, est insuffisant.
En tout état de cause, ce processus doit être précédé de mesures de sécurité élémentaires telles que :
D’un point de vue juridique, il convient de se doter de mesures de cyber gouvernance permettant de neutraliser ces risques. Ces procédures prennent la forme d’un « Référentiel Sécurité » détaillant les mesures organisationnelles et techniques mises en œuvre pour assurer la sécurité et la confidentialité des données (Pour présentation du Référentiel sécurité cliquez ici) .
Des sanctions plus importantes à prévoir…
Les faits s’étant déroulés avant la date d’entrée en application du RGPD, la CNIL a prononcé une amende de 400.000 euros « seulement ».
Toute situation similaire se déroulant aujourd’hui pourrait donner lieu à une amende nettement supérieure, pouvant aller jusqu’à 4% du chiffre d’affaire annuel mondial ou 20 millions d’euros.
Il convient également d’observer que la CNIL a décidé de rendre publique sa délibération afin de sensibiliser les acteurs.
Les conséquences réputationnelles d’une telle sanction ne sont pas neutres et doivent être également prises en compte.
******
Le cabinet HAAS Avocats, cabinet spécialisé en cybersécurité, accompagne depuis plus de 20 ans ses clients dans la mise en conformité de leurs traitements à la réglementation « informatique et libertés ». Service de DPO externalisé ; audit, cartographie des traitements, réalisation/consolidation du référentiel sécurité, établissement des accords contractuels avec les sous-traitants, mise en conformité des sites Web, etc. sont autant d’exemples de missions menées au quotidien par les avocats du Cabinet HAAS auprès de PME, de grands comptes comme d’entités publiques.
N’hésitez pas à nous contacter pour tout renseignement complémentaire en cliquant ici.