Sanction de la CNIL contre l’ADEF

La formation restreinte de la CNIL a prononcé une sanction de 75 000 euros à l’encontre de l’Association pour le Développement des Foyers (ADEF) pour avoir insuffisamment protégé les données des utilisateurs de son site internet.

L’association ADEF a pour mission la mise à disposition de logements dans des résidences et foyers notamment pour des étudiants, des familles monoparentales et des travailleurs migrants.

En juin 2017, la CNIL a été informée de l’existence d’un incident de sécurité qui conduisait à rendre librement accessibles les données personnelles des demandeurs de logement ayant effectué une démarche d’inscription sur le site internet de l’association.

Un contrôle en ligne a été réalisé le 15 juin 2017. Au cours de ce contrôle, la CNIL a constaté qu’une modification du chemin de l’URL affichée dans le navigateur permettait d’accéder à des documents enregistrés par d’autres demandeurs : avis d’imposition, passeports, cartes d’identité, titres de séjour, bulletins de salaires, attestations de paiement de la CAF.
Le même jour, la CNIL a alerté l’association de cette violation de données à caractère personnel et lui a demandé d’y remédier. Quelques jours plus tard, un contrôle sur place a été réalisé dans les locaux de l’association. Il a été constaté que les données étaient toujours accessibles, alors que l’association indiquait avoir demandé à la société ayant développé son site web d’intervenir.

La formation restreinte de la CNIL a prononcé une sanction pécuniaire de 75 000 euros, estimant que l’association avait manqué à son obligation de préserver la sécurité et la confidentialité des données personnelles des utilisateurs de son site, conformément à l’article 34 de la loi Informatique et Libertés. Elle a relevé que les mesures élémentaires de sécurité n’avaient pas été prises en amont du développement du site. Elle a notamment précisé que l’association aurait dû mettre en place un dispositif permettant d’éviter la prévisibilité des URL (exemple : URL composée d’une chaîne de caractères aléatoires et ne comportant pas la dénomination de la pièce fournie par la personne telle que « carte-identité », « cni » ou « avis imposition »). De plus, la société aurait dû prévoir une procédure d’identification ou d’authentification des utilisateurs du site internet afin de protéger les documents téléversés par les demandeurs.

La formation restreinte a relevé que de nombreuses données d’identification des utilisateurs du site étaient accessibles telles que : des noms, prénoms, dates de naissance, coordonnées postales, statut marital ou encore leur nombre d’enfants ; le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) ; des IBAN (références bancaires) ; des données relevant de la vie privée : salaire, revenu fiscal de référence, versement d’une aide personnalisée au logement ou d’une allocation aux adultes handicapés.

La formation restreinte a tenu compte de la bonne coopération de l’association avec les services de la CNIL. Elle a néanmoins considéré que la gravité de la violation était constituée en raison de la nature des données rendues librement accessibles et du nombre de documents concernés par la violation (42 652). Compte tenu de cette gravité et du caractère particulièrement intime et complet des données concernées, la formation restreinte a décidé de rendre publique sa décision.