L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re - 174

La cybercriminalité en 11 fiches et plans d'actions
du respect des principes de « privacy by design » et de « privacy by default » laissera une
grande part d'interprétation aux juges du fond.
Il convient de préciser que la très grande nouveauté de ce texte, puisqu'il est entré en
vigueur le 1er juin 2019, ne permet pas encore de bénéficier d'une application jurisprudentielle stabilisée.
FOCUS
La sanction par la CNIL de l'atteinte à la sécurité
des données à caractère personnel
S'il existe, pour l'instant, peu de poursuites
pénales sur le fondement de l'article 22617 du Code pénal, le manquement aux
règles de sécurité imposées par le RGPD
ou par la loi Informatique et Libertés peut
tout de même être sanctionné par la CNIL
qui a le pouvoir de prononcer des sanctions administratives, et a prononcé de
nombreuses sanctions sur le fondement
de l'atteinte à la sécurité des données à
caractère personnel.
Ainsi, à titre d'exemple, la formation
restreinte de la CNIL a prononcé dans
une délibération du 28 mai 201923 une
amende d'un montant de 400 000 euros à
l'encontre d'une société spécialisée dans
les activités immobilières, notamment sur
le fondement de l'atteinte à la sécurité des
données à caractère personnel.
La situation d'espèce était la suivante :
l'entreprise disposait d'un site permettant
aux candidats à la location de déposer
des pièces justificatives afin de constituer
leur dossier de recherche d'un logement
(carte d'identité, carte Vitale, avis d'imposition, jugements de divorce, relevés
de compte, RIB, etc.). Un utilisateur s'était

aperçu de la possibilité, en modifiant
légèrement l'adresse URL affichée dans
le navigateur, d'accéder librement aux
documents d'autres candidats. Il a alors
déposé une plainte auprès de la CNIL qui
a effectué un contrôle au cours duquel elle
s'est rendu compte que l'entreprise avait
connaissance de cette faille de sécurité
depuis au moins six mois.
La formation restreinte de la CNIL a
considéré que l'entreprise avait manqué
à son obligation de préserver la sécurité des données personnelles des utilisateurs prévue à l'article 32 du RGPD.
Selon l'autorité, elle aurait dû mettre en
place une procédure d'authentification
permettant de s'assurer que les requêtes
d'accès aux documents provenaient bien
des personnes les ayant déposés sur le
site.
En outre ce manquement était aggravé
d'une part par la nature des données
rendues accessibles, et d'autre part par le
manque de diligence de l'entreprise au
regard du temps écoulé entre la connaissance du problème et la mise en œuvre de
moyens pour le résoudre.

C.	 Élément moral de l'infraction 23
À défaut de précisions textuelles, il semblerait que l'imprudence et la négligence soient
écartées de l'élément moral.
L'infraction serait donc uniquement intentionnelle.
Cela signifie donc, par exemple, que lorsque des mesures appropriées n'ont pas été prises
par le responsable de traitement ou le sous--traitant, il faudra établir que ce dernier avait
conscience qu'il ne prenait pas les mesures appropriées. Ce qui pourrait peut--être rejoindre
une forme de négligence... et devra faire l'objet d'une confirmation jurisprudentielle.

23. Délibération n° SAN-2019-005 du 28 mai 2019.

174
L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re

Table des matières de la publication L'expert - La cybercriminalité en 11 fiches et plans d'actions - 1re
