Le 16 novembre 2017, la CNIL a sanctionné de 25 000 euros l’éditeur de plusieurs sites de démarches en ligne. Ces sites laissaient les données de leurs utilisateurs librement accessibles. La CNIL a aussi décidé de rendre sa sanction publique.
Une précision : cet article d’actualité reste en ligne à titre d’information. Je ne traite pas de dossiers dans ce domaine.
Les faits
En décembre 2016, un spécialiste a signalé à la CNIL une faille sur des sites de démarches administratives. Ils servaient à demander un passeport, un acte de naissance ou à porter plainte.
Ses contrôleurs ont constaté qu’une page récapitulative s’affichait à la fin de chaque démarche. En modifiant un numéro dans l’adresse de cette page, ils voyaient les demandes des autres utilisateurs. Identité, adresse, téléphone, et même le récit des plaintes étaient accessibles. Aucune authentification n’était exigée.
La décision de la CNIL
Pour la CNIL, la société avait manqué à son obligation de sécurité des données. L’outil qui avait servi à créer les sites offrait déjà la solution. La société l’a d’ailleurs mise en place en quelques jours. La faille ne demandait aucune compétence particulière.
Pour fixer le montant, la CNIL a retenu la gravité du manquement, certaines données touchant à l’intimité. Elle a aussi pris en compte la réaction rapide de la société et sa petite taille. Le rapporteur avait d’abord proposé 200 000 euros. La CNIL a retenu 25 000 euros (délibération SAN-2017-012 du 16 novembre 2017).
La CNIL a rendu sa décision publique, en prévoyant de l’anonymiser au bout de deux ans. C’est pourquoi cet article ne cite plus le nom de la société.
Ce qui a changé depuis
Le règlement général sur la protection des données (RGPD) s’applique depuis le 25 mai 2018. Il a profondément renforcé les obligations de sécurité et les sanctions. Les amendes peuvent désormais atteindre plusieurs millions d’euros, ou un pourcentage du chiffre d’affaires mondial. Le responsable du traitement doit aussi, en principe, notifier les violations de données à la CNIL.
La leçon de 2017 reste valable. Une faille simple suffit à engager la responsabilité de l’éditeur d’un site.
Article rédigé par Maître Pierre-Henry Desfarges, avocat au barreau de Strasbourg depuis 2013. Publié en 2017, mis à jour le 28 octobre 2026.