Hors collection - Droit du e-commerce et du marketing digital - 1re - 157

CHAPITRE 3 - RGPD

ET POLITIQUE DE CONFIDENTIALITÉ

157

Pour aller plus loin
Exemples de bad buzz
La CNIL a infligé une amende record de 250 000 € à la chaîne de magasins d'optique Optical Center pour une atteinte à la sécurité des données de ses clients. C'est la première fois que l'autorité de contrôle impose une amende aussi forte98.
Après avoir été alertée en juillet 2017, la CNIL a constaté qu'il était possible à un client utilisant le site d'Optical Center
« d'accéder à des centaines de factures » d'autres clients, « en renseignant plusieurs URL dans la barre d'adresse de son navigateur ». Ces factures contenaient des données telles que les nom, prénom, adresse postale et corrections ophtalmologiques, et
dans certains cas le numéro de sécurité sociale. Les documents étaient théoriquement accessibles à n'importe quel internaute :
il était possible de les consulter sans se connecter à l'espace client, et sans mot de passe.
Le pouvoir de sanction de la CNIL avait été renforcé par la loi sur la République numérique de 2016 (anticipant le RGPD), le
plafond des amendes jusque-là fixé à 150 000 € passant à 3 millions d'euros. Le 20 décembre 2018, la CNIL a rendu publique
sa décision de sanction pécuniaire de 400 000 € prononcée à l'encontre de la société Uber France pour atteinte à la sécurité
des données de ses utilisateurs. Dans cette décision, la CNIL considère que la société Uber n'a pas pris toutes les précautions utiles
afin d'empêcher que des tiers non autorisés aient accès aux données à caractère personnel de ses utilisateurs et a manqué à son
obligation de sécurité sur le fondement de l'article 34 de la loi Informatique & Libertés et des dispositions de l'article 32 du RGPD
en ne mettant pas « en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité
adapté au risque, y compris entre autres, selon les besoins : la pseudonymisation et le chiffrement des données à caractère
personnel ». Les faits s'étant déroulés avant la date d'entrée en application du RGPD, la CNIL a prononcé une amende de
400 000 € « seulement ». Le RGPD, entré en vigueur le 25 mai 2018, donne un pouvoir de sanction encore accru, puisque ces
sanctions pourront atteindre jusqu'à 20 millions d'euros et 4 % du chiffre d'affaires. Seuls les faits constatés après l'entrée en
vigueur du règlement sont toutefois concernés.
Les trois grandes catégories de directives de sécurité (évaluation, prévention et détection) permettent aux organismes de traiter les
menaces sous des angles différents et de protéger les données contre tout accès non autorisé. Le RGPD introduit de nouveaux
concepts relatifs aux principes à appliquer dans la gestion et le traitement des données à caractère personnel (security by
default). Si, pour les entreprises, la mise en place de mesures de sécurité relatives aux données est susceptible d'entraîner
d'importants surcoûts, elle ne doit pas être négligée. Sous l'ancienne législation, les violations relatives à la sécurité de
données étaient faiblement sanctionnées. Les sanctions du RGPD sont nettement plus dissuasives. Enfin, au-delà du coût financier que peut représenter une violation des dispositions du RGPD, les retombées en termes d'image peuvent être désastreuses
(voir supra, bad buzz Optical Center et Uber).

§5. Documenter la conformité
Pour être conforme aux exigences du règlement, il sera indispensable de constituer et regrouper la
documentation nécessaire. Les actions et documents réalisés à chaque étape doivent être réexaminés
et actualisés régulièrement pour assurer une protection des données en continu.
Le dossier devra notamment comporter les éléments suivants.

98. CNIL, formation restreinte, délib. nº SAN-2018-002, 7 mai 2018 prononçant une sanction pécuniaire à l'encontre de la
société Optical Center.

Hors collection - Droit du e-commerce et du marketing digital - 1re

Table des matières de la publication Hors collection - Droit du e-commerce et du marketing digital - 1re