Optical Center se voit infliger une amende de 250 000 € par la Cnil pour avoir insuffisamment sécurisé les données de ses clients qui effectuent une commande sur son site internet.
Une faille découverte en juillet 2017
Cette sanction intervient après qu’en juillet 2017, la Cnil ait été informée d’une « fuite de données conséquentes » concernant la société Optical Center. Optical Center avait déjà été mis à l’amende en 2015.
En juillet 2017, un contrôle en ligne a permis aux équipes de la Cnil de constater qu’il était possible, en renseignant plusieurs URL dans la barre d’adresse d’un navigateur, d’accéder à des centaines de factures de clients de la société. Ces factures contenaient des données telles que le nom, prénom, adresse postale ainsi que des données de santé (correction ophtalmologique) et dans certains cas, le numéro de sécurité sociale des personnes concernées.
Alertée le même jour par la CNIL, la société s’est rapprochée de son prestataire pour qu’il prenne les mesures nécessaires afin de mettre fin à cet incident de sécurité.
Absence de vérification de connexion
Un contrôle sur place a été mené dans les locaux de la société Optical Center durant lequel elle a reconnu que son site internet présentait bien un défaut de sécurité. En l’espèce, le site www.optical-center.fr n’intégrait pas de fonctionnalité permettant de vérifier qu’un client est bien connecté à son espace personnel (« espace client ») avant de lui afficher ses factures. Il était ainsi relativement simple d’accéder aux documents d’un autre client de la société.
La Présidente de la Cnil a donc désigné un rapporteur afin que soit engagée une procédure de sanction à l’encontre de la société. La Cnil a prononcé une sanction pécuniaire d’un montant de 250 000 €, estimant que la société avait manqué à son obligation de sécurité des données personnelles, en méconnaissance de l’article 34 de la loi Informatique et Libertés.
La Cnil reconnaît la réactivité de la société dans la résolution de la faille, mais elle considère que la question de la restriction d’accès aux documents mis à disposition des clients, à partir de leur espace réservé, aurait dû faire l’objet d’une attention particulière. Une telle fonctionnalité constitue une précaution d’usage essentielle. Optical Center a également été considéré comme connaissant les risques liés à un défaut de sécurisation de son site car une sanction de 50 000 € avait déjà été prononcée en raison d’un défaut de sécurité en 2015.
Trop de clients menacés
Compte tenu notamment de la particulière sensibilité des données ayant été rendues librement accessibles, du nombre de clients impactés et du volume de documents contenus dans la base de données de la société à la date de l’incident (plus de 334 000), la Cnil a décidé de rendre publique sa décision.
Top lectures en ce moment
-
Stellantis adopte les agents IA, arcbouté sur une plateforme d’IA bâtie avec Dat...
-
La CDP (Customer Data Platform), un projet clé de la transformation Data d’Axa F...
-
Doctolib lance un assistant vocal de gestion des appels des patients
L’actualité de la transformation
L'IA clé de nos besoins vitaux dans l'eau, l'électricité et le gaz
Marchés de l’eau : l’IA générative arrive dans les réponses aux appels d’offres des collectivités
Saur, spécialiste de la distribution d’eau potable, fait évoluer son processus de réponse aux appels d’offres des collectivités et des industriels en y injectant de l’IA géné…
Stockage de l’électricité : l’IA générative outil d’accélération clé chez Engie
Le stockage de l’électricité est un enjeu stratégique. Engie s’y attelle et mobilise pour cela l’IA générative de type RAG, c'est-à-dire basée sur le traçage des documents source. …
Nouvelle donne dans le gaz naturel : GRDF s’adapte en utilisant l’IA
GRDF, leader de la distribution du gaz naturel en France, affine sa stratégie d’IA. Il s’appuie sur des serveurs internes pour la confidentialité des données de ses clients. GRDF c…
Et vous, qu’en pensez-vous ?
Une idée, une réaction, une question ? Laissez-nous un mot ci-dessous.
Je réagis à cet article