Questions juridiques à l'E7 : méthode et cas corrigé

Les justificatifs contiennent des données personnelles (identité, revenus, situation familiale) et, pour les certificats médicaux, des données de santé, sensibles au sens de l'article 9 du RGPD. Des personnes non autorisées y ont eu accès et une adresse IP en a téléchargé 4 312 : c'est une violation de données personnelles au sens de l'article 4 du RGPD, de type confidentialité.

Le responsable de traitement est Cèdre Habitat, qui détermine les finalités (gérer les dossiers des locataires) et les moyens (le portail qu'elle a développé). L'hébergeur est sous-traitant ; d'après l'annexe 2, la sécurité applicative relève du client.

La cause est un défaut de contrôle d'accès (référence directe à un objet non sécurisée, catégorie A01 du Top 10 de l'OWASP) : Cèdre Habitat a manqué à son obligation de sécurité (article 32) et au principe de protection des données dès la conception (article 25).

• Documenter la violation dans le registre des violations : faits, effets, mesures (article 33, paragraphe 5).
• Notifier la CNIL dans les meilleurs délais et au plus tard 72 heures après la prise de connaissance. La violation est confirmée le lundi 12 avril 2027 à 10 h 15 : la notification doit être faite au plus tard le jeudi 15 avril 2027 à 10 h 15, quitte à la compléter ensuite (article 33). Elle précise la nature de la violation, le nombre de personnes et de documents, le contact de la DPO, les conséquences probables et les mesures prises.
• Informer les locataires concernés dans les meilleurs délais (article 34) : le risque est élevé (données de santé et financières, extraction massive et volontaire, risque d'usurpation d'identité et d'escroquerie). Le message explique la nature de l'incident, les conséquences possibles, les mesures prises et les précautions à prendre (méfiance envers les messages qui se prévalent de ces documents).
• Porter plainte, au plus tard 72 heures après avoir eu connaissance de l'atteinte si Cèdre Habitat veut être indemnisée par son assurance cyber.

Règle. L'article 323-1 du Code pénal punit de 3 ans d'emprisonnement et 100 000 € d'amende le fait d'accéder ou de se maintenir frauduleusement dans tout ou partie d'un système de traitement automatisé de données. L'article 323-3 punit de 5 ans et 150 000 € le fait d'extraire, de détenir ou de reproduire frauduleusement les données qu'il contient. L'absence de protection technique n'empêche pas l'accès d'être frauduleux : il suffit que la personne sache qu'elle n'est pas autorisée (Cour de cassation, chambre criminelle, 20 mai 2015, affaire Bluetouff).

Application. Le portail est un STAD. L'auteur a parcouru les identifiants un par un, pendant dix jours, pour télécharger 4 312 documents de tiers : il ne pouvait ignorer que ces documents ne lui étaient pas destinés. Il s'est maintenu frauduleusement dans une partie du système à laquelle il n'avait pas droit et en a extrait des données.

Conclusion. L'argument est inopérant : il encourt les peines des articles 323-1 et 323-3, et peut être poursuivi pour collecte de données personnelles par un moyen frauduleux ou déloyal (article 226-18 : 5 ans et 300 000 €). La faille de Cèdre Habitat ne l'exonère pas, mais n'exonère pas non plus Cèdre Habitat de sa propre responsabilité.

Techniquement, ouvrir des documents de tiers en modifiant l'adresse est un accès non autorisé. Mais l'élément intentionnel et la proportionnalité comptent : il a consulté trois documents, le temps de constater la faille, puis l'a signalée immédiatement, sans rien conserver ni diffuser. Des poursuites seraient très improbables et Cèdre Habitat n'a aucun intérêt à porter plainte contre celui qui l'a alertée. Elle doit le remercier, lui demander de supprimer toute copie éventuelle, et corriger la faille. La charte de l'annexe 3 ne s'applique pas à lui : elle s'impose aux salariés, pas aux locataires.

Pour l'avenir, Cèdre Habitat peut publier une politique de divulgation responsable (adresse de signalement, engagement de ne pas poursuivre les signalements de bonne foi, règles à respecter).

Non, au vu de l'annexe 2. Le contrat répartit clairement les obligations : l'hébergeur répond de la sécurité physique et de la disponibilité de l'infrastructure, le client de la sécurité de ses applications. La faille est un défaut de contrôle d'accès dans le code du portail, développé par Cèdre Habitat : l'hébergeur n'a pas manqué à ses obligations contractuelles, et sa responsabilité contractuelle ne peut pas être engagée. Il n'aurait pu l'être que s'il avait eu connaissance d'un incident (par exemple un trafic anormal détecté par ses outils) sans en informer Cèdre Habitat dans les 24 heures.

1. Contrôler l'autorisation côté serveur pour chaque document : vérifier que le document demandé appartient au locataire connecté, et utiliser des identifiants non prévisibles (UUID). Obligation de sécurité (article 32) et protection dès la conception (article 25).
2. Détecter les comportements anormaux : alerte sur un nombre inhabituel de téléchargements par compte ou par adresse IP, limitation du débit. Article 32 (capacité à détecter et à réagir), et journaux exploitables comme preuve.
3. Tester la sécurité avant chaque mise en production : revue de code, tests d'autorisation automatisés, test d'intrusion annuel avec une convention signée. Article 32 (procédure pour tester et évaluer régulièrement l'efficacité des mesures).
4. Réaliser une AIPD pour la fonctionnalité de dépôt de justificatifs : données sensibles (santé) et financières, à grande échelle, de personnes parfois vulnérables. Article 35. Et minimiser : supprimer les justificatifs une fois le dossier instruit (principe de limitation de la conservation, article 5).