Protection des données : la Cnil inflige une sanction de 100.000 euros à Darty

La Commission nationale de l'informatique et des libertés (Cnil) a annoncé mardi avoir infligé une amende de 100.000 euros à Darty (groupe Fnac Darty) pour ne pas avoir protégé les données de certains clients du service après-vente.

Une faille de sécurité permettait d'accéder librement aux données renseignées par les clients du distributeur dans un formulaire en ligne et ces informations étaient restées accessibles même après un premier contrôle de la Cnil, a expliqué l'organisme dans un communiqué.

La Cnil avait été informée en février 2017 par un éditeur en ligne "spécialisé dans la sécurité des systèmes d'information" de cette faille, selon sa délibération publiée au Journal officiel.

En mars, l'Autorité découvre lors d'un contrôle en ligne que près d'un million de fiches étaient "potentiellement accessibles", avec des données telles que les noms, prénoms, les adresses postales, les adresses de messagerie électronique ou encore les commandes des clients.

Ce premier contrôle sera suivi quinze jours plus tard par un second effectué sur place. Entre temps, "les fiches des clients étaient toujours accessibles", a souligné la Cnil, et "de nouvelles fiches avaient été créées dans ce laps de temps".

Le formulaire de demande de service après-vente à l'origine de la faille de sécurité était développé par un sous-traitant de Darty, a-t-elle précisé.

Mais cela ne "décharge" par le groupe français "de son obligation de préserver la sécurité des données traitées pour son compte", rappelle t-elle.

Selon la Cnil, Darty "aurait dû" préalablement vérifier que les règles de paramétrage de l'outil protégeait les données des clients, une vérification qui fait partie selon elle "des tests élémentaires qui doivent être réalisés par une société".

"A ce stade, nous nous réservons le droit de déposer un recours devant le conseil d'Etat", a réagi un porte-parole du groupe Fnac Darty auprès de l'AFP.