Données personnelles : la CNIL sanctionne les fuites de Ricard.com

Comme il était facile, pour n'importe quel internaute, de savoir qui étaient les plus fidèles consommateurs de Ricard, de connaître leurs adresses, le nom de leurs banques et les sommes dépensées !

Malgré un chiffre d'affaires de plus de 500 millions d'euros, il aura fallu presque un an pour que Ricard réussisse à sécuriser les données de ses 1000 membres inscrits au programme de fidélité « Place Ricard ».

C'est le 9 juillet 2015 que la Commission nationale de l'informatique et des libertés (CNIL) s'est aperçue pour la première fois que ces données étaient accessibles facilement. Rien n'avait changé au 21 avril 2016.

Des noms et coordonnées dans le vent

Le site ricard.com propose aux internautes de s'inscrire à un programme de fidélité en communiquant leurs noms, dates de naissance et adresses de courriel. Puisqu'il y est question d'acheter des produits en ligne, les utilisateurs étaient aussi amenés à verser leurs adresses postales et numéros de téléphone.

Certaines pages du site présentaient toutes ces données en libre accès, complétées par des informations de paiement confidentielles.

Ces pages n'étaient pas indexées par les moteurs de recherche, mais leurs URL étaient spécifiées dans le fichier robot.txt qui sert à donner des consignes à Google et à ses confrères (et est, lui, en libre accès). La CNIL n'a eu qu'à entrer ces adresses directement dans un navigateur et le tour était joué.

Un processus long mais efficace

La CNIL commence alors par une série de notifications à l'entreprise Ricard, exploitante du site ricard.com, en juillet puis en novembre 2015. Elle considère que Ricard est tenue responsable de la sécurité des données de ses utilisateurs, et non l'hébergeur du site qui ne délivre qu'une prestation technique.

Face à l'absence de réaction suffisante du distributeur de boissons alcoolisées, et après avoir entendu ses représentants en audience à huit clos, la CNIL prononce une légère sanction à son encontre le 21 avril 2016.

La CNIL s'est engagée à rendre sa décision publique. Une sanction apparemment suffisante puisque la faille de sécurité a été réglée par le groupe entre avril 2016 et la publication officielle de la CNIL survenue le 24 mai.

Des données protégées par le droit commun

En revanche, pas d'amende pour Ricard, car aucune malversation ne semble avoir été commise par un tiers à l'aide de ces données personnelles.

Depuis l'affaire Laurelli/Bluetouff-Anses, la jurisprudence française prévoit des sanctions en cas d'accès par un internaute à des documents et informations confidentiels même si ceux-ci sont en accès libre. L'affaire devrait être portée devant la Cour européenne des droits de l'homme.