Protection des données insuffisante : la Cnil sanctionne une association

La Commission nationale de l'informatique et des libertés (Cnil) a infligé 75.000 euros d'amende à une association d'aide au logement francilienne pour une protection insuffisante des données des utilisateurs de son site internet, a-t-elle annoncé jeudi dans un communiqué.

L'association sanctionnée est l'Adef (Association pour le déploiement des foyers), qui met à disposition des logements dans des résidences et foyers notamment pour des étudiants, des familles monoparentales et des travailleurs immigrés.

Selon la Cnil, des données personnelles de demandeurs de logement ayant effectué une démarche d'inscription sur le site d'internet de l'association étaient "librement accessibles" à d'autres utilisateurs.

"Une modification du chemin de l'URL (adresse web) affichée dans le navigateur permettait d'accéder à des documents enregistrés par d'autres demandeurs: avis d'imposition, passeports, cartes d'identité, titres de séjour, bulletins de salaires, attestations de paiement de la CAF", a indiqué la Cnil.

Le gendarme du traitement des données avait été alerté sur l'existence de ce problème en juin 2017.

Le montant de la sanction et le fait qu'elle soit rendue publique sont liés "à la nature des données rendues librement accessibles et du nombre de documents concernés par la violation (42.652)", a souligné la Commission.

Les sanctions financières de la Cnil sont relativement rares. En 2017, elle a prononcé neuf sanctions financières, dont six ont été rendues publiques.

Le 7 juin, la Cnil avait infligé une amende record de 250.000 euros à la chaîne de magasins d'optique Optical Center, pour une atteinte à la sécurité des données de ses clients.