Un utilisateur du site d’une société immobilière a prévenu la Cnil qu’il pouvait accéder librement à des données personnelles de candidats à la location d’un logement. L’entreprise a été condamnée à 400.000 euros d’amende.
La Commission nationale informatique et libertés (Cnil) a infligé une amende de 400.000 euros à une société immobilière, Sergic, qui a laissé accessibles en ligne des informations personnelles de candidats à la location. L’entreprise en question, dont le siège est situé à Wasquehal (Nord), est une entreprise qui a des activités de gestionnaire d’immobilier, de syndic de co-propriété, de location de vacances, ou d’immobilier d’entreprise.
Tout est parti d’une alerte lancée, en août 2018 par un utilisateur du site internet de Sergic. Ce dernier a prévenu la Cnil qu’il avait pu accéder à des données appartenant à d’autres personnes. Il suffisait pour ce faire de «modifier légèrement l’URL affichée dans le navigateur», selon la Cnil. Dans un contrôle publié en ligne le 7 septembre, la Cnil a effectivement constaté que des copies de cartes d’identité, carte Vitale, jugement de divorce, attestations de la CAF... étaient accessibles «sans authentification préalable». Dans un contrôle sur place quelques jours plus tard, elle s’est également rendue compte que Sergic connaissait la vulnérabilité «depuis mars 2018», mais avait tardé à la corriger, n’apportant de solution complète que le «17 septembre 2018».
Grief supplémentaire du régulateur français, Sergic conservait les données de ses candidats à la location «sans limitation de durée». Or, une fois que les logements ont été attribués, Sergic était censée soit les effacer, soit les placer dans un archivage intermédiaire si leur conservation était nécessaire, pour des raisons légales par exemple, indique la Cnil. La société «a manqué à son obligation de préserver la sécurité des données personnelles des utilisateurs de son site, prévue par l’article 32 du RGPD (Règlement européen sur la protection des données)», a souligné le gendarme français des données personnelles.
Entré en vigueur le 25 mai 2018 dans l’Union européenne, le Règlement général européen sur la protection des données codifie les droits des internautes quant à l’utilisation de leurs données personnelles, et fixe des obligations aux entreprises pour assurer le respect de ces droits. Le RGPD permet aux régulateurs nationaux comme la Cnil d’infliger des amendes pouvant aller jusqu’à 4% du chiffre d’affaires ou 20 millions d’euros.
0 commentaire
Vous devez être membre pour ajouter un commentaire.
Vous êtes déjà membre ? Connectez-vous
Pas encore membre ? Devenez membre gratuitement
Signaler le commentaire
Fermer