Publicité

Données personnelles : la CNIL sanctionne les fuites de Ricard.com

  • Le site ricard.com fait la promotion de boissons alcoolisées (Visual Hunt).jpg

    Le site ricard.com use de données personnelles pour faire la promotion de boissons alcoolisées (illustration Visual Hunt)
    Le site ricard.com use de données personnelles pour faire la promotion de boissons alcoolisées (illustration Visual Hunt)
  • Comme il était facile, pour n'importe quel internaute, de savoir qui étaient les plus fidèles consommateurs de Ricard, de connaître leurs adresses, le nom de leurs banques et les sommes dépensées !

    Malgré un chiffre d'affaires de plus de 500 millions d'euros, il aura fallu presque un an pour que Ricard réussisse à sécuriser les données de ses 1000 membres inscrits au programme de fidélité « Place Ricard ».

    C'est le 9 juillet 2015 que la Commission nationale de l'informatique et des libertés (CNIL) s'est aperçue pour la première fois que ces données étaient accessibles facilement. Rien n'avait changé au 21 avril 2016.

    Des noms et coordonnées dans le vent

    Le site ricard.com propose aux internautes de s'inscrire à un programme de fidélité en communiquant leurs noms, dates de naissance et adresses de courriel. Puisqu'il y est question d'acheter des produits en ligne, les utilisateurs étaient aussi amenés à verser leurs adresses postales et numéros de téléphone.

    Certaines pages du site présentaient toutes ces données en libre accès, complétées par des informations de paiement confidentielles.

    Ces pages n'étaient pas indexées par les moteurs de recherche, mais leurs URL étaient spécifiées dans le fichier robot.txt qui sert à donner des consignes à Google et à ses confrères (et est, lui, en libre accès). La CNIL n'a eu qu'à entrer ces adresses directement dans un navigateur et le tour était joué.

    Un processus long mais efficace

    La CNIL commence alors par une série de notifications à l'entreprise Ricard, exploitante du site ricard.com, en juillet puis en novembre 2015. Elle considère que Ricard est tenue responsable de la sécurité des données de ses utilisateurs, et non l'hébergeur du site qui ne délivre qu'une prestation technique.

    Face à l'absence de réaction suffisante du distributeur de boissons alcoolisées, et après avoir entendu ses représentants en audience à huit clos, la CNIL prononce une légère sanction à son encontre le 21 avril 2016.

    La CNIL s'est engagée à rendre sa décision publique. Une sanction apparemment suffisante puisque la faille de sécurité a été réglée par le groupe entre avril 2016 et la publication officielle de la CNIL survenue le 24 mai.

    Des données protégées par le droit commun

    En revanche, pas d'amende pour Ricard, car aucune malversation ne semble avoir été commise par un tiers à l'aide de ces données personnelles.

    Depuis l'affaire Laurelli/Bluetouff-Anses, la jurisprudence française prévoit des sanctions en cas d'accès par un internaute à des documents et informations confidentiels même si ceux-ci sont en accès libre. L'affaire devrait être portée devant la Cour européenne des droits de l'homme.

    À lire sur Archimag
    Les podcasts d'Archimag
    Pour cet épisode spécial Documation, nous nous sommes penchés sur une autre grande tendance de l'année 2024 : la cybersécurité, et plus particulièrement la sécurité dans le domaine de la gestion des données. La protection des données contre les menaces internes et externes est non seulement cruciale pour garantir la confidentialité, l'intégrité et la disponibilité des données, mais aussi pour maintenir la confiance des clients. Julien Baudry, directeur du développement chez Doxallia, Christophe Bastard, directeur marketing chez Efalia, et Olivier Rajzman, directeur commercial de DocuWare France, nous apportent leurs éclairages sur le sujet.