La Cnil a prononcé une sanction de 180 000 € à l’encontre de l’assureur Active Assurances pour avoir insuffisamment protégé les données des utilisateurs de son site web. A la lecture de l’avis de la Cnil, on a surtout le sentiment que l’assureur a fait montre d’une grande candeur et d’un manque de connaissance des bonnes pratiques les plus élémentaires en matière de sécurité informatique. La Cnil semble avoir eu la main lourde en termes de sanction dans ce cas.
Signalement par un client auprès de la Cnil
En juin 2018, la Cnil avait reçu un signalement d’un client de la société indiquant que, à partir de son compte sur le site web, il avait pu accéder aux données personnelles d’autres clients. Un contrôle en ligne effectué par la Cnil a permis de constater que les comptes des clients de la société étaient accessibles via des liens hypertextes référencés sur un moteur de recherche.
Les documents et les données des clients étaient également accessibles en modifiant les numéros figurant à la fin des adresses URL affichées dans le navigateur. Ces documents comportaient des copies de permis de conduire, de cartes grises, des relevés d’identité bancaire ainsi que des documents permettant de savoir si une personne avait fait l’objet d’un retrait de permis ou commis un délit de fuite.
Le même jour, la Cnil alertait la société de ce défaut de sécurité et de la violation de données qui en résultait, et lui a demandé d’y remédier. Quelques jours plus tard, Active Assurances informait la Cnil que des mesures avaient été prises. Un contrôle sur place a alors été réalisé dans les locaux de la société toujours par la Cnil. Il a montré la grande candeur de l’assureur en matière de sécurité.
Le mot de passe était la date de naissance
Les mesures prises n’étaient pas suffisantes pour empêcher le référencement ; le format des mots de passe de connexion aux espaces personnels était imposé par la société, et correspondait à la date de naissance des clients. Et ce format était indiqué sur les formulaires de connexion ; après la création de leur compte, l’identifiant et le mot de passe de connexion étaient transmis aux clients par email et mentionnés en clair dans le corps du message.
La Cnil a considéré que la société avait manqué à son obligation de sécurisation des données personnelles prévue par l’article 32 du règlement général sur la protection des données (RGPD).
Active Assurances aurait dû s’assurer que chaque personne souhaitant accéder à un document était bien habilitée à le consulter ; le référencement par les moteurs de recherche aurait pu être évité à l’aide d’un fichier « robot.txt » par exemple ; la société aurait dû imposer aux utilisateurs d’utiliser des mots de passe plus complexes et ne pas les transmettre en clair par email.
Plusieurs milliers de personnes concernées
Le défaut de sécurité a affecté les comptes de plusieurs milliers de clients et de personnes ayant résilié leur contrat avec la société. La société Active Assurances a une activité d’intermédiaire en assurance et de concepteur et distributeur de contrats d’assurance automobile aux particuliers. Elle gère le site web www.activeassurances.fr sur lequel les personnes peuvent demander des devis, souscrire des contrats ou accéder à leur espace personnel.
Top lectures en ce moment
-
Doctolib lance un assistant vocal de gestion des appels des patients
-
Trois questions auxquelles les retailers doivent répondre face à l’IA agentique
-
La CDP (Customer Data Platform), un projet clé de la transformation Data d’Axa F...
L’actualité de la transformation
L'IA clé de nos besoins vitaux dans l'eau, l'électricité et le gaz
Marchés de l’eau : l’IA générative arrive dans les réponses aux appels d’offres des collectivités
Saur, spécialiste de la distribution d’eau potable, fait évoluer son processus de réponse aux appels d’offres des collectivités et des industriels en y injectant de l’IA géné…
Stockage de l’électricité : l’IA générative outil d’accélération clé chez Engie
Le stockage de l’électricité est un enjeu stratégique. Engie s’y attelle et mobilise pour cela l’IA générative de type RAG, c'est-à-dire basée sur le traçage des documents source. …
Nouvelle donne dans le gaz naturel : GRDF s’adapte en utilisant l’IA
GRDF, leader de la distribution du gaz naturel en France, affine sa stratégie d’IA. Il s’appuie sur des serveurs internes pour la confidentialité des données de ses clients. GRDF c…
Et vous, qu’en pensez-vous ?
Une idée, une réaction, une question ? Laissez-nous un mot ci-dessous.
Je réagis à cet article