Cnil : sanction contre Orange pour des failles de sécurité relatives aux données de ses clients

La Cnil, après avoir constaté une faille dans la sécurité des données des clients d'Orange, a prononcé à l'encontre de la société un avertissement public.

Suite à une défaillance technique de l'un de ses prestataires, la Société Orange a notifié à la Commission nationale de l'informatique et des libertés (Cnil) une violation de données personnelles concernant les nom, prénom, date de naissance, adresse électronique et numéro de téléphone fixe ou mobile de près de 1,3 million de ses clients.

Par suite, la commission a effectué plusieurs contrôles auprès d'Orange et ses sous-traitants agissant pour le compte des campagnes d'emailing professionnel et a constaté que les dysfonctionnements à l'origine de la faille de sécurité avaient été corrigés. Plusieurs lacunes à la sécurité des données ont toutefois été identifiées, justifiant par là-même l'engagement d'une procédure de sanction.

Pour sa défense, la société invoquait avoir tout mis en œuvre pour respecter son obligation de sécurité des données de ses clients.

La Cnil, en formation restreinte, a malgré tout relevé qu'Orange n'avait pas fait réaliser d'audit préalablement à l'utilisation de la solution technique de son prestataire pour l'envoi de campagnes d'emailing, alors qu'une telle mesure aurait permis d'identifier la faille de sécurité. En outre, la société a envoyé à ses prestataires les mises à jour de ses fichiers clients sans aucune clause de sécurité et de confidentialité des données.

Par voie de conséquence, la Cnil, dans une délibération du 7 août 2014, en a déduit que la société défenderesse avait manqué à son obligation d'assurer la sécurité et la confidentialité des données à caractère personnel de ses clients consacrée par la loi "Informatique et Libertés" à son article 34, prononçant alors un avertissement public à son encontre. 

Références

- Communiqué de presse de la Cnil du 25 août 2014 - “La société ORANGE sanctionnée pour défaut de sécurité des données dans le cadre de campagnes marketing” - Cliquer ici

- Délibération de la formation restreinte n° 2014-298 du 7 août 2014 prononçant un (...)