En bref
Données fiscales et cadastrales extraites ; mots de passe non. Le ministère a notifié la CNIL et informera individuellement les personnes concernées. La CNIL ne souhaite pas de plaintes individuelles et vérifiera si les mesures de sécurité étaient conformes à l'état de l'art : les sanctions peuvent viser les responsables de traitement comme les sous-traitants.
Ce qui est sorti
- Données fiscales : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN et raison sociale d'entreprises.
- Données cadastrales : adresses et surfaces de biens immobiliers.
- Les identifiants et les mots de passe ne seraient pas concernés.
Cette dernière ligne rassure d'ordinaire ; ici, elle est le problème. Sans identifiants, personne n'entre dans le compte de personne ; avec le revenu, le quotient familial, le taux et l'adresse du bien, on rédige un message qui en sait plus sur une personne que sa banque. C'est de la matière première d'hameçonnage de qualité, et la CNIL le dit ouvertement dans ses recommandations : se méfier de toute demande « urgente » par courriel ou téléphone bâtie sur ces informations.
La phrase qui concerne ceux qui exercent comme DPO
« La CNIL est susceptible de mener des investigations sur pièces ou sur place pour vérifier, notamment, si les mesures de sécurité en place sont conformes à l'état de l'art de la sécurité informatique. » Pas « si une procédure existait », pas « s'il y avait un DPO » : si les mesures étaient à l'état de l'art au moment des faits.
C'est l'étalon de l'article 32, et il se démontre avec des dates. Une liste de mesures sans date d'adoption et sans document qui les atteste ne tient pas devant cette vérification : personne ne peut établir après coup ce qui était en vigueur en août et ce qui a été ajouté en septembre.
La CNIL ajoute que la sanction éventuelle peut viser les responsables de traitement <strong>et les sous-traitants</strong>. Fournir un service à une administration ne met pas à l'abri parce que le nom dans la presse est celui du donneur d'ordre.
Pas de plaintes individuelles
La CNIL est déjà saisie des violations et demande de ne pas lui adresser de plaintes individuelles à ce sujet, sauf à disposer d'éléments spécifiques utiles aux investigations en cours. C'est une précision pratique à transmettre à un client avant qu'il ne passe du temps à préparer une plainte qui sera écartée.
Trois questions à poser aux clients dès aujourd'hui
1) Si une demande arrivait avec des données fiscales exactes, comment la vérifie-t-on ? Un canal de rappel défini à l'avance vaut mieux que toute sensibilisation faite après. 2) Nos mesures de l'article 32 ont-elles une date et un document qui les atteste, ou sont-elles une liste ? 3) Nous sommes sous-traitants d'une administration : savons-nous que le contrôle peut nous atteindre aussi ?
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
