C’est la saison des prunes à la Cnil

Tout d’abord, les montants les plus élevés des amendes qu’avait prononcées la Cnil jusqu’à peu étaient de 150 000 euros. Or, ce plafond a été relevé en 2016, pour atteindre maintenant 3 millions d’euros, juste 20 fois plus. Dans son « malheur », Optical Center a eu tout de même de la chance : les faits incriminés datent de juillet 2017, et si les mêmes faits s’étaient produits après le 25 mai fatidique, le montant maximal aurait été porté à 2 % du CA de l’entreprise. En 2015, l’entreprise a réalisé un CA de 450 millions d’euros, et le montant maximal aurait donc été de 9 millions d’euros. En appliquant une bête règle de trois, cela aurait pu conduire la Cnil à prononcer une amende de 750 000 euros.

Ensuite, on ne peut que faire le lien avec l’affaire récente de Darty, qui pour exactement les mêmes dysfonctionnements, n’a été condamné qu’à 100 000 euros d’amende. Alors pourquoi cette différence ? Apparemment, pour deux raisons : la première est qu’Optical Center s’était déjà vu appliquer une amende pour des faits analogues quelques mois auparavant (50 000 euros) et que la Cnil a dû estimer que la récidive méritait rallonge, mais surtout parce qu’à la différence du site de Darty, qui ne contient que des informations administratives (nom, prénom, adresse des clients) et commerciales (produits, prix, etc.), celui d’Optical Center hébergeait en sus des données de nature médicale (correction) en plus des numéros Insee (qui sont souvent utilisés dans des usurpations d’identité).

Enfin, et c’est la partie du jugement qui a le plus d’impact sur un éventuel caractère « jurisprudentiel », même si l’entreprise, alertée par la Cnil de la faille de sécurité, a réagi très vite pour y remédier, la Cnil a considéré que ce genre de sécurité était tellement basique que la faille était inexcusable. Sur son site, la Cnil mentionne en effet avoir « estimé que la mise en place d’une telle fonctionnalité constitue une précaution d’usage essentielle ». Autrement dit, il existe des points de sécurité de la donnée personnelle qui ne relèvent pas de l’obligation de moyens, mais de l’obligation de résultat. Et là, cela change tout.

Nul doute que les fournisseurs d’équipements de protection des applications Web vont se frotter les mains, nul doute qu’il va falloir inclure dans les check-lists des prochains marchés un audit de ces composants préalable à la réception du marché, nul doute qu’il va falloir aussi penser à reporter sur les sous-traitants les conséquences financières de ce type de manquement aux règles élémentaires. Avec 250 000 euros, Optical Center aurait pu se payer un audit d’intrusion de son site Web en platine massif et un rapport tout en dorures.

(1) https://www.cnil.fr/fr/optical-center-sanction-de-250000eu-pour-une-atteinte-la-securite-des-donnees-des-clients-du-site