Les contrôles ont révélé plusieurs manquements au RGPD et à la loi Informatique et Libertés, entraînant dix sanctions financières dans le cadre de la procédure simplifiée.
Des manquements à la sécurité (article 32 du RGPD)
Les manquements relevés témoignent de la diversité des failles pouvant affecter la sécurité d’un système d’information.
Il a notamment été constaté que :
- les modalités d’authentification permettant aux agents des collectivités de se connecter à distance (notamment en télétravail) n’étaient pas suffisamment robustes, en particulier pour ceux disposant de privilèges élevés (absence d’authentification multifacteur pour les administrateurs) ;
- certains prestataires extérieurs (par exemple, des éditeurs de logiciels) pouvaient accéder au réseau des collectivités de manière permanente, sans y être autorisés au cas par cas, ou via des comptes partagés entre plusieurs salariés ;
- les mesures déployées afin de détecter les comportements anormaux étaient inefficaces (journalisation incomplète ou absence d’exploitation en temps réel ou à court terme des journaux ) ;
- le cloisonnement du réseau était insuffisant, ce qui pouvait étendre l’impact d’une violation à plusieurs segments du réseau ;
- certains systèmes d’exploitation utilisés par des serveurs étaient obsolètes : ils n’étaient plus maintenus à jour par leur éditeur et ne bénéficiaient donc pas des correctifs de sécurité adéquats ;
- certains mots de passe utilisés étaient insuffisamment robustes, transmis en clair aux usagers ou stockés dans des conditions ne permettant pas de garantir leur confidentialité.
L’ensemble de ces manquements exposaient les données, parfois sensibles, des administrés à des risques de perte de confidentialité.
Certaines des collectivités contrôlées ont d’ailleurs subi une ou plusieurs violations de données, qui auraient pu être évitées si les mesures adéquates avaient été prises.
Plusieurs décisions relèvent également que les systèmes d’information des collectivités, utilisés notamment pour échanger en ligne avec les administrés, ne faisaient pas l’objet d’une homologation de sécurité avant leur mise en service, alors que le référentiel général de sécurité (RGS) l’exige. Cette homologation, rendue obligatoire , permet aux autorités administratives d’assurer la mise en conformité de leur système d’information.
Un manquement à l’obligation d’effectuer une analyse d’impact (articles 35 du RGPD et 90 de la loi Informatique et Libertés)
Plusieurs collectivités ont été sanctionnées pour ne pas avoir réalisé d’analyse d’impact (AIPD) préalablement à la mise en œuvre de certains traitements qui présentent des risques élevés pour les droits et libertés des personnes.
C’est notamment le cas :
- des téléservices permettant aux parents de gérer les activités scolaires et extrascolaires de leurs enfants, puisqu’ils concernent à la fois des personnes vulnérables (les enfants) et des données hautement personnelles (des coordonnées bancaires) ;
- des systèmes de vidéoprotection installés sur la voie publique, qui constituent « une surveillance systématique à grande échelle d’une zone accessible au public ».
Ces analyses auraient permis aux collectivités d’évaluer les risques liés aux traitements en cause et de prendre les mesures de sécurité nécessaires.
Les sanctions prononcées
Des amendes allant de 3 000 € à 20 000 € (maximum légal pour ce type de procédure) ont été prononcées. Ces montants tiennent notamment compte du nombre de manquements relevés et de leur gravité, des catégories de données traitées (données de mineurs, coordonnées bancaires, etc.), du budget de chacune des collectivités et du nombre de personnes concernées. Ils tiennent également comptent des mesures prises pour se mettre en conformité.
Source : CNIL
Des manquements à la sécurité (article 32 du RGPD)
Les manquements relevés témoignent de la diversité des failles pouvant affecter la sécurité d’un système d’information.
Il a notamment été constaté que :
- les modalités d’authentification permettant aux agents des collectivités de se connecter à distance (notamment en télétravail) n’étaient pas suffisamment robustes, en particulier pour ceux disposant de privilèges élevés (absence d’authentification multifacteur pour les administrateurs) ;
- certains prestataires extérieurs (par exemple, des éditeurs de logiciels) pouvaient accéder au réseau des collectivités de manière permanente, sans y être autorisés au cas par cas, ou via des comptes partagés entre plusieurs salariés ;
- les mesures déployées afin de détecter les comportements anormaux étaient inefficaces (journalisation incomplète ou absence d’exploitation en temps réel ou à court terme des journaux ) ;
- le cloisonnement du réseau était insuffisant, ce qui pouvait étendre l’impact d’une violation à plusieurs segments du réseau ;
- certains systèmes d’exploitation utilisés par des serveurs étaient obsolètes : ils n’étaient plus maintenus à jour par leur éditeur et ne bénéficiaient donc pas des correctifs de sécurité adéquats ;
- certains mots de passe utilisés étaient insuffisamment robustes, transmis en clair aux usagers ou stockés dans des conditions ne permettant pas de garantir leur confidentialité.
L’ensemble de ces manquements exposaient les données, parfois sensibles, des administrés à des risques de perte de confidentialité.
Certaines des collectivités contrôlées ont d’ailleurs subi une ou plusieurs violations de données, qui auraient pu être évitées si les mesures adéquates avaient été prises.
Plusieurs décisions relèvent également que les systèmes d’information des collectivités, utilisés notamment pour échanger en ligne avec les administrés, ne faisaient pas l’objet d’une homologation de sécurité avant leur mise en service, alors que le référentiel général de sécurité (RGS) l’exige. Cette homologation, rendue obligatoire , permet aux autorités administratives d’assurer la mise en conformité de leur système d’information.
Un manquement à l’obligation d’effectuer une analyse d’impact (articles 35 du RGPD et 90 de la loi Informatique et Libertés)
Plusieurs collectivités ont été sanctionnées pour ne pas avoir réalisé d’analyse d’impact (AIPD) préalablement à la mise en œuvre de certains traitements qui présentent des risques élevés pour les droits et libertés des personnes.
C’est notamment le cas :
- des téléservices permettant aux parents de gérer les activités scolaires et extrascolaires de leurs enfants, puisqu’ils concernent à la fois des personnes vulnérables (les enfants) et des données hautement personnelles (des coordonnées bancaires) ;
- des systèmes de vidéoprotection installés sur la voie publique, qui constituent « une surveillance systématique à grande échelle d’une zone accessible au public ».
Ces analyses auraient permis aux collectivités d’évaluer les risques liés aux traitements en cause et de prendre les mesures de sécurité nécessaires.
Les sanctions prononcées
Des amendes allant de 3 000 € à 20 000 € (maximum légal pour ce type de procédure) ont été prononcées. Ces montants tiennent notamment compte du nombre de manquements relevés et de leur gravité, des catégories de données traitées (données de mineurs, coordonnées bancaires, etc.), du budget de chacune des collectivités et du nombre de personnes concernées. Ils tiennent également comptent des mesures prises pour se mettre en conformité.
Source : CNIL