C'est la première fois qu'une sanction pécuniaire est prononcée par la Cnil pour violation de données en application de la loi pour une République numérique entrée en vigueur de novembre 2016. Auparavant, seul un avertissement pouvait être décidé dans ce cas.
"Une violation de données personnelles s'est produite en 2016 sur un site de la société Hertz en raison d'une erreur commise par un prestataire. La formation restreinte de la CNIL a prononcé une sanction d'un montant de 40.000 euros, estimant que la société avait manqué à son obligation de sécurité des données" explique le communiqué.
La violation des données personnelles s'est effectuée via le site de fidélisation www.cartereduction-hertz.com, dont la sécurité et la confidentialité des données étaient "insuffisantes".
Les agents de la Cnil ont en effet pu accéder librement aux données personnelles fournies par 35.357 personnes inscrites sur ce site, c'est-à-dire leurs identités, coordonnées et numéro de permis de conduire.
Selon le communiqué, la violation des données n'était pas intentionnelle, elle a été permise par une erreur du prestataire lors d'une opération de changement de serveur informatique. La suppression "accidentelle" d'une ligne de code "avait entraîné le réaffichage des formulaires remplis par les adhérents au programme de réduction" précise la CNIL.
La sanction pécuniaire est prononcée pour "manquement à l'obligation de prendre toutes les mesures pour préserver la sécurité des données personnelles du site, conformément à l'article 34 de la loi Informatique et Libertés". La Cnil dit avoir tenu compte "de la réactivité de la société" dans la résolution de la violation de données, "de son initiative à diligenter un audit de sécurité ainsi que de sa bonne coopération avec la Cnil".
im/arz/jpr
