Publicité

Données personnelles : la CNIL sanctionne les fuites de Ricard.com

  • Le site ricard.com fait la promotion de boissons alcoolisées (Visual Hunt).jpg

    Le site ricard.com use de données personnelles pour faire la promotion de boissons alcoolisées (illustration Visual Hunt)
    Le site ricard.com use de données personnelles pour faire la promotion de boissons alcoolisées (illustration Visual Hunt)
  • Comme il était facile, pour n'importe quel internaute, de savoir qui étaient les plus fidèles consommateurs de Ricard, de connaître leurs adresses, le nom de leurs banques et les sommes dépensées !

    Malgré un chiffre d'affaires de plus de 500 millions d'euros, il aura fallu presque un an pour que Ricard réussisse à sécuriser les données de ses 1000 membres inscrits au programme de fidélité « Place Ricard ».

    C'est le 9 juillet 2015 que la Commission nationale de l'informatique et des libertés (CNIL) s'est aperçue pour la première fois que ces données étaient accessibles facilement. Rien n'avait changé au 21 avril 2016.

    Des noms et coordonnées dans le vent

    Le site ricard.com propose aux internautes de s'inscrire à un programme de fidélité en communiquant leurs noms, dates de naissance et adresses de courriel. Puisqu'il y est question d'acheter des produits en ligne, les utilisateurs étaient aussi amenés à verser leurs adresses postales et numéros de téléphone.

    Certaines pages du site présentaient toutes ces données en libre accès, complétées par des informations de paiement confidentielles.

    Ces pages n'étaient pas indexées par les moteurs de recherche, mais leurs URL étaient spécifiées dans le fichier robot.txt qui sert à donner des consignes à Google et à ses confrères (et est, lui, en libre accès). La CNIL n'a eu qu'à entrer ces adresses directement dans un navigateur et le tour était joué.

    Un processus long mais efficace

    La CNIL commence alors par une série de notifications à l'entreprise Ricard, exploitante du site ricard.com, en juillet puis en novembre 2015. Elle considère que Ricard est tenue responsable de la sécurité des données de ses utilisateurs, et non l'hébergeur du site qui ne délivre qu'une prestation technique.

    Face à l'absence de réaction suffisante du distributeur de boissons alcoolisées, et après avoir entendu ses représentants en audience à huit clos, la CNIL prononce une légère sanction à son encontre le 21 avril 2016.

    La CNIL s'est engagée à rendre sa décision publique. Une sanction apparemment suffisante puisque la faille de sécurité a été réglée par le groupe entre avril 2016 et la publication officielle de la CNIL survenue le 24 mai.

    Des données protégées par le droit commun

    En revanche, pas d'amende pour Ricard, car aucune malversation ne semble avoir été commise par un tiers à l'aide de ces données personnelles.

    Depuis l'affaire Laurelli/Bluetouff-Anses, la jurisprudence française prévoit des sanctions en cas d'accès par un internaute à des documents et informations confidentiels même si ceux-ci sont en accès libre. L'affaire devrait être portée devant la Cour européenne des droits de l'homme.

    À lire sur Archimag
    Les podcasts d'Archimag
    La mise à disposition des décisions de justice en Open Data a vu le jour grâce à la loi pour une République numérique votée en 2016. Les articles 20 et 21 prévoient la mise en open data des quatre millions de décisions de justice produites chaque année par les tribunaux français. Camille Girard-Chanudet est chercheuse en sociologie au sein du Centre d’étude des mouvements sociaux. En 2023, elle a soutenu une thèse devant l’École des hautes études en sciences sociales (EHESS) : "La justice algorithmique en chantier, sociologie du travail et des infrastructures de l’intelligence artificielle". Dans ce cadre elle a rencontré les équipes de la Cour de cassation qui procèdent à l’anonymisation des décisions de justice.