Un assureur condamné à 180 000 euros d'amende pour avoir laissé fuiter les données de ses clients

information fournie par Boursorama avec Newsgene •29/07/2019 à 10:28

Un assureur condamné à 180 000 euros d'amende pour avoir laissé fuiter les données de ses clients

La société Active Assurances a été sanctionnée par la Cnil pour avoir "insuffisamment protégé" les données de ses clients. Des copies de permis de conduire, des cartes grises ou encore des relevés d'identité bancaire étaient librement accessibles sur son site.

La Cnil, le gendarme français des données personnelles, a annoncé jeudi 25 juillet avoir sanctionné à hauteur de 180.000 euros la société Active Assurances pour avoir "insuffisamment protégé" les données de ses clients sur son site Internet.

Le défaut de sécurité a affecté les comptes de "plusieurs milliers" de clients mais aussi de personnes ayant résilié leur contrat avec cette société spécialisée dans l'assurance des particuliers, précise le communiqué de la Cnil.

Permis de conduire, cartes grises, RIB ...

Saisi en juin 2018 par une personne qui avait pu accéder aux données personnelles d'autres clients, le régulateur avait constaté que des liens vers les comptes des assurés étaient référencés sur un moteur de recherche et avait demandé à la société d'y remédier.

Parmi les documents librement accessibles se trouvaient des copies de permis de conduire, des cartes grises, des relevés d'identité bancaire ainsi que des documents permettant de savoir si une personne avait fait l'objet d'un retrait de permis ou commis un délit de fuite.

Un contrôle ultérieur dans les locaux de la société avait mené à la découverte d'autres défauts de protection : les mots de passe attribués aux clients par Active Assurances correspondaient à leurs dates de naissance et étaient transmis "en clair" par courriel. Les mesures prises pour empêcher le référencement des données clients n'étaient par ailleurs "pas suffisantes".

Le RGPD fixe des obligations aux entreprises

La société "a manqué à son obligation de sécurisation des données personnelles, prévue par l'article 32 du RGPD (Règlement européen sur la protection des données personnelles)", a souligné la Cnil.

Entré en vigueur le 25 mai 2018 dans l'Union européenne, le Règlement général européen sur la protection des données codifie les droits des internautes quant à l'utilisation de leurs données personnelles, et fixe des obligations aux entreprises pour assurer le respect de ces droits.

Le RGPD permet aux régulateurs nationaux comme la Cnil d'infliger des amendes pouvant aller jusqu'à 4% du chiffre d'affaires ou 20 millions d'euros.