C’est la forme d’escroquerie la plus répandue sur internet.

Le fraudeur se fait passer pour un organisme que vous connaissez (banque, service des impôts, CAF, etc.) en utilisant son nom et son logo. Il vous envoie un mail ou un sms ou vous appelle pour vous demander généralement de « mettre à jour » ou de « confirmer vos informations à la suite d’un incident technique », notamment vos coordonnées bancaires (numéro de compte, codes personnels, etc.).

L’objectif ? Jouer sur le sentiment d’urgence pour vous pousser à communiquer des informations.

Vous recevez un message (email, appel téléphonique, sms).

Ce message semble provenir d’un tiers de confiance.

Exemple de message de phishing

L’objectif en créant un sentiment d’urgence : vous pousser à agir !

Le message vous demandera par exemple de cliquer sur un lien pour :

• • réinitialiser un mot de passe ;
  • annuler une commande ;
  • renseigner des données pour recevoir quelque chose ;
  • mettre à jour des données ;
  • renseigner vos coordonnées bancaires ;
  • ou vous poussant à télécharger une pièce jointe.

           Exemple de redirection

Vous renseignez les données demandées.

Il peut s’agir de votre login et votre mot de passe, de vos coordonnées bancaires, etc…

Les données sont transmises aux cybercriminels.

Ils peuvent au choix soit exploiter immédiatement les données soit les revendre.

Oups ! Trop tard !

Depuis 2018, les sanctions prononcées n’ont eu de cesse d’augmenter d’année en année. 2021 a été une année sans précédent pour la CNIL et le montant cumulé des amendes a dépassé les 214 millions d’euros !

Les contrôles peuvent être effectués par la CNIL notamment sur la base de plaintes reçues et des sujets d’actualités. En parallèle et chaque début d’année sont retenues des thématiques prioritaires pour les contrôles de la CNIL. 

Les 3 thèmes retenus pour l’année 2022 sont les suivants :

✔️ la prospection commerciale ;

✔️ les outils de surveillance dans le cadre du télétravail ;

✔️ l’utilisation du « cloud » computing ou le recours à une technologie d’informatique en nuage.

La CNIL a prononcé le 28 décembre 2021, une sanction de 180 000 euros à l’encontre de la société SLIMPAY qui propose des solutions de paiement à ses clients. Les défauts de protection et de sécurisation des données personnelles étaient à l’origine de cette sanction. Parmi les données traitées par la société SLIMPAY figuraient notamment des données bancaires (BIC/IBAN). La société SLIMPAY, victime d’une violation de données, n’avait notifié ni la CNIL ni les personnes concernées. Cet incident concernait plus de 12 millions de personnes !

Une TPE de 9 salariés a été sanctionnée par la CNIL le 13 juin 2019 à payer une amende de 20 000 euros assortie d’une astreinte de 200 euros par jour de retard. L’employeur avait installé dans son entreprise des caméras de vidéosurveillance qui filmaient en permanence les employés sur leurs postes de travail. En plus de la violation des droits et libertés des personnes par une utilisation trop intrusive de la vidéosurveillance, l’employeur a manqué à son obligation d’informer les salariés sur le traitement de leurs données.

La société Nestor a été sanctionnée en décembre 2020 par la CNIL à payer une amende de 20 000 euros. La société avait envoyé des e-mails de prospection à des personnes sans avoir obtenu leur consentement au préalable. Plusieurs autres manquements ont été constatés, notamment l’absence de mention d’information des personnes sous le formulaire de contact du site internet ou encore pour la création d’un compte sur l’application mobile. La politique de protection des données personnelles était incomplète et trop générale.

Par ailleurs, la société Nestor n’a pas su donner droit aux demandes d’accès reçues par les personnes concernées. Enfin, le mot de passe exigé pour la création d’un compte sur le site internet et/ou sur l’application mobile a été jugé trop faible par la CNIL.

Deux médecins libéraux ont été sanctionnés par des amendes de 6 000 euros et 3 000 euros pour avoir manqué à leur obligation d’assurer la sécurité des données personnelles de leurs patients. Ils n’ont pas rempli leur obligation de notification de violation de données à la CNIL.

La société nouvelle de l’annuaire français (SNAF) a été sanctionnée le 15 septembre 2021 à hauteur de 3 000 euros. Elle ne respectait pas les droits des personnes concernées, ces dernières ne pouvant rectifier leurs données ni en demander l’effacement. La CNIL a également relevé des manquements à l’obligation de tenir un registre d’activités de traitement et à l’obligation de coopération durant un contrôle de conformité.

Dans sa délibération en date du 30 juin 2022, la CNIL a prononcé une sanction de 1 million d’euros à l’encontre de TOTAL ÉNERGIES. Parmi les manquements relevés, la société ne donnait aucun moyen d’opposition aux utilisateurs concernant la réutilisation de leurs données à des fins de prospection commerciale.

Par ailleurs, d’autres manquements ont été mis en évidence à la suite des investigations de la CNIL : un manquement à l’obligation d’information des personnes démarchées téléphoniquement ; un manquement à l’obligation de respecter le droit d’accès aux données ; un manquement aux obligations relatives aux modalités d’exercice des droits. En effet, la société ne répondait pas aux demandes d’exercices de droit dans le délais prévu par le RGPD (un mois).

Dans une autre délibération en date du 14 juin 2021, la CNIL a infligé une amende de 500 000 euros à la société BRICO PRIVÉ.

Après trois contrôles, la CNIL a notamment constaté que :

✔️ les durées de conservation fixées par la société dans son registre n’étaient pas respectées. Des données de centaines de milliers de clients étaient conservées au-delà des durées initialement prévues ;

✔️ l’information des personnes concernées ne comportait pas l’ensemble des informations obligatoires ;

✔️ le droit à l’effacement n’était pas respecté, la société procédait uniquement à la désactivation des comptes ;

✔️ la sécurité des données n’était pas assurée. D’une part, l’utilisation d’un mot de passe robuste lors de la création de compte utilisateur n’était pas imposée. D’autre part, les mots de passe des salariés qui permettaient l’accès à la base de données client n’étaient pas assez robustes et étaient conservés en clair dans un fichier texte contenu sur un ordinateur.

Le 29 octobre 2021, la CNIL a prononcé une sanction de 400 000 euros à l’encontre de la RATP. Plusieurs centres de bus avaient saisi dans des fichiers d’évaluation le nombre de jours de grève de leurs agents. Ce fichier permettait de gérer l’évolution de carrière et les promotions attribuées aux agents. Parmi les infractions constatées :

✔️ un manquement au respect du principe de minimisation des données. En effet, des données non nécessaires à la préparation de l’évolution de carrière des agents étaient collectées (le nombre de jours de grève exercés par les agents) ;

✔️ un manquement à l’obligation de limiter les durées de conservation des données. Les données permettant le suivi d’activité des agents étaient conservées pendant plus de trois ans alors que leur conservation pour atteindre la finalité initialement fixée n’avait pas besoin de dépasser 18 mois ;

✔️ un manquement à la sécurité des données. La gestion des habilitations n’était pas satisfaisante et l’ensemble des données était accessible à tous les agents peu importe leurs fonctions ou leurs missions.

Une société de téléphonie mobile française a fait l’objet de plusieurs plaintes. Elles témoignaient notamment des difficultés rencontrées par les personnes concernées à exercer leurs droits d’accès et d’opposition à recevoir de la prospection commerciale de la part de Free mobile. D’autres manquements concernant l’obligation de protection des données personnelles ont également été constatés par la CNIL.

En janvier 2021, la CNIL a sanctionné un responsable de traitement et son sous-traitant  de données pour ne pas avoir mis en place de mesures adéquates notamment à la suite d’attaques de « credential stuffing ». Après avoir subi des premières cyber-attaques, les deux sociétés se sont concentrées à développer un outil pour faire face à ces menaces de type « credential stuffing ». L’élaboration de l’outil ayant nécessité plus d’une année de travail, aucune autre mesure n’avait été mise en place. 40 000 clients ont été impactés par des attaques subies à cause des manquements constatés. La CNIL a décidé de sanctionner la négligence des deux sociétés. Elle a estimé que le responsable de traitement aurait dû mettre en place des mesures pendant l’année écoulée et que le sous-traitant devait l’assister et lui proposer des solutions appropriées.

Pour mettre en œuvre votre plan d’action, il vous faut dans un premier temps étudier si votre organisme a l’obligation de désigner un délégué à la protection des données (DPD ou DPO).  Dans le schéma ci-dessous sont présentés les trois cas dans lesquels la désignation d’un DPO est obligatoire. En dehors de ces trois cas, la désignation d’un DPO n’est pas obligatoire.

Pour piloter le travail de mise en conformité au RGPD, vous pouvez désigner un voire plusieurs pilotes ou chargés de projet qui, en plus de leurs missions, organiseront la mise en place du plan d’action. Pour faire émerger un projet de qualité, il est préférable que l’équipe désignée ne soit pas trop large. Trois aspects essentiels sont à prendre en compte :

• • • Le volet technique ;
    • La partie juridique ;
    • Et le plan organisationnel.

L’élaboration et la mise en place du plan d’action ne dépendent pas que d’une seule personne. Tous les services de l’entreprise sont concernés. Aussi, la sensibilisation et la communication avec vos collaborateurs, chefs de services et l’ensemble du personnel sont essentielles.

Si la désignation d’un DPO n’est pas obligatoire au sein de votre entreprise, il peut être judicieux de désigner un « point de contact ». Cela permettra de simplifier et centraliser les procédures (déclaration de violation de données auprès de la CNIL, réalisation d’audit au sein de l’entreprise, tenue des registres, etc.). Cette personne peut être la personne désignée pour piloter la mise en conformité de votre entité par exemple.

L’objectif de cette étape est de faire l’inventaire des activités de traitement mises en œuvre au sein de votre structure. Une activité de traitement regroupe une ou plusieurs opérations effectuées sur des données à caractère personnel (collecte, consultation, modification, etc.).

Vous pourrez ensuite débuter la rédaction de votre registre des activités de traitement et disposer d’une vue d’ensemble de la gestion des données personnelles au sein de votre entreprise. Elément central de votre travail de mise en conformité, ce registre vous permettra également de  mieux comprendre et maîtriser le patrimoine informationnel de l’entreprise. 

Pour élaborer votre registre des traitements, vous devrez pour chaque activité :

• • • Identifier les données ou catégories de données utilisées ;
    • Répertorier les objectifs mobilisés ;
    • Lister les mesures de sécurité mises en place (techniques, physiques, organisationnelles) ;
    • Préciser les durées de conservation fixées ;
    • Lister les sous-traitants de données personnelles, les éventuels transferts de données ;
    • Etc.

En renseignant votre registre, vous allez identifier des actions à mener pour respecter les obligations en matière de protection des données et/ou les recommandations de la CNIL.

Après avoir interrogé les différents services et collaborateurs, vous pourrez distinguer certains écarts de  conformité et des pistes pour améliorer la protection des données au sein de votre structure.

Parmi les manquements que vous allez identifier pourront figurer  :

• • • La mise en place d’une information adaptée à chaque support de collecte de données personnelles tel que sur le formulaire de contact de votre site internet ;
    • L’instauration d’une procédure pour la gestion des demandes d’exercice des droits et/ou de violations de données ;
    • La détermination et l’application d’une durée de conservation adéquate (par exemple : 2 ans maximum pour les CV collectés dans le cadre d’un recrutement) ;
    • La mise en place ou l’amélioration de mesures de sécurité (par exemple concernant la gestion des habilitations et des accès) ;
    • Etc.

Chaque département, service ou collaborateur peut être mobilisé et participer à la mise en place des bonnes pratiques. Pour cela, vous pouvez communiquer le plus largement possible au sein de la société sur le travail en cours.

Il vous appartient d’affecter les tâches à mener dans le cadre de la mise en conformité, à une ou plusieurs personnes et de mobiliser les ressources nécessaires.

Nous vous recommandons également de prévoir une sensibilisation et des formations du personnel selon les services et selon les traitements de données effectués au sein de ces services.

Il est fortement conseillé de gérer les habilitations et de mettre à jour les droits d’accès de vos collaborateurs de façon régulière.

La formation et la sensibilisation au RGPD de l’ensemble du personnel jouent un rôle essentiel et contribuent à la réussite de votre projet au sein de l’entreprise. Elles permettront également de faire face plus facilement aux risques qui ont pu être identifiés.

La mise en place de procédures à suivre en cas de violation de données est aussi très importante.

N’hésitez pas à prévoir une communication claire et synthétique des procédures et bonnes pratiques à suivre auprès de votre personnel.

Concernant la sous-traitance de données personnelles, il vous faut faire le point sur :

• • • Vos relations contractuelles avec les personnes vis-à-vis desquelles vous êtes sous-traitants de données personnelles ;
    • Vos relations contractuelles avec vos propres sous-traitants de données personnelles.

Veillez à bien négocier et formaliser avec vos sous-traitants de données personnelles :

• • • Les garanties et les mesures de sécurité ;
    • Les conditions de traitement des données ;
    • Le transfert des données à d’autres entités notamment hors Union européenne ;
    • La possibilité de faire appel à des sous-traitants ultérieurs.

Les personnes concernées par un traitement de leurs données personnelles doivent avoir accès à une information accessible et complète.

Cette information doit mentionner  :

✅   Les finalités ou objectifs des traitements de données ;

✅   La base légale qui garantit la licéité des traitements ;

✅   Leurs droits sur leurs données et la manière de les exercer ;

✅L’éventuelle existence de transferts de données vers d’autres entreprises (sous-traitants, partenaires, etc.), notamment hors Union européenne ;

✅   Les différents destinataires des données personnelles ;

✅ La durée de conservation des données et les mesures de sécurité mises en place.

La CNIL définit l’accountability comme « l’obligation pour les entreprises de mettre en œuvre des mécanismes et des procédures internes permettant de démontrer le respect des règles relatives à la protection des données ».

En d’autres termes, c’est l’obligation pour les entreprises de documenter les preuves de leur mise en conformité au RGPD.

N’hésitez pas à prévoir une communication claire et synthétique des procédures et bonnes pratiques à suivre auprès de votre personnel.

Pour être en mesure de démontrer sa conformité au RGPD, vous devez pouvoir produire une documentation, décrivant l’ensemble des procédures et des bonnes pratiques appliquées par votre structure en matière de données personnelles. Cette documentation comprend notamment :

✅ Les registres : registre des activités de traitement et registre du sous-traitant de données personnelles.

✅ Les analyses d’impact réalisées pour les traitements qui présentent des risques pour les droits et libertés de personnes.

✅ Les clauses contractuelles et toute autre preuve de l’encadrement des transferts de données à des tiers établis en dehors de l’Union Européenne.