Catégorie : Veille

Le 5 février 2025, la CNIL a publié un bilan préoccupant de l’année écoulée, marquée par une hausse des infractions en matière de protection des données. Face à la multiplication des sanctions, son plan stratégique 2025-2028 met l’accent sur quatre axes majeurs : cybersécurité, intelligence artificielle, protection des mineurs et applications mobiles.

En matière de cybersécurité, la CNIL constate une recrudescence des cyberattaques, souvent facilitée par des failles de sécurité. Elle prévoit un renforcement des contrôles et une coordination accrue avec l’ANSSI, et invite les entreprises à adopter l’authentification multifacteur, le chiffrement des données et la formation des employés.

S’agissant de l’intelligence artificielle, la CNIL prévoit un encadrement renforcé, avec un service dédié et la promotion d’une IA éthique ; les entreprises devront cartographier leurs traitements IA et anticiper le règlement européen. Pour la protection des mineurs, les plateformes sont appelées à mettre en place des contrôles d’âge plus fiables et davantage de transparence sur l’usage des données des jeunes utilisateurs. Enfin, les applications mobiles et l’identité numérique feront l’objet de contrôles renforcés, en lien avec le règlement eIDAS, face au non-respect du consentement et à la vulnérabilité des données.

Face à ces priorités, la CNIL recommande aux organisations d’auditer leurs pratiques, de renforcer leurs politiques de cybersécurité et de se préparer aux futures régulations européennes — un impératif pour éviter les sanctions et préserver la confiance des utilisateurs.

Source : CNIL — Bilan 2024 et plan stratégique 2025-2028.

Les cyberattaques visant les entreprises françaises sont devenues un phénomène quotidien. Certaines affaires font la une, mais une grande partie des violations restent sous le radar. Début 2024, une fuite massive de données de santé a touché Viamedis et Almerys, exposant les informations de plus de 33 millions de personnes ; dans les télécoms, les données de millions de clients de Free ont été compromises, parfois avec des informations bancaires, et SFR a également subi des exfiltrations. Mairies et hôpitaux sont fréquemment ciblés par des rançongiciels, et des fuites chez Auchan ou la Fédération française de football illustrent la banalisation de ces incidents.

Pourquoi les PME sont-elles des cibles de choix ?

Plusieurs facteurs les rendent vulnérables : un manque de moyens consacrés à la cybersécurité, leur rôle de « maillon faible » dans les chaînes d’approvisionnement (porte d’entrée vers des cibles plus stratégiques) et une sensibilisation insuffisante des collaborateurs.

Une valeur marchande pour chaque donnée

Les données personnelles sont devenues une monnaie d’échange sur le marché noir, dont la valeur dépend de leur précision : une adresse e-mail seule se négocie entre 0,15 et 0,20 €, un profil détaillé environ 10 $, et un dossier complet avec documents d’identité entre 40 et 50 $. Même une petite base a de la valeur : pour un site de 500 clients revendus 10 $ chacun, la base représente déjà 5 000 $ — d’où l’intérêt des cybercriminels pour les TPE et PME, souvent moins protégées.

Réutilisation illicite et vigilance

Avec ou sans piratage, la réutilisation illicite d’une base de données expose à de lourdes sanctions. La CNIL rappelle qu’une base accessible en ligne n’est pas librement exploitable : il faut vérifier qu’elle ne provient pas de sources frauduleuses et que les données ne sont réutilisées que dans le cadre du consentement initial ou d’une base légale claire, sous peine d’amendes pouvant atteindre 4 % du chiffre d’affaires mondial. Pour se protéger : vérifier la provenance des bases, renforcer la cybersécurité interne, former les collaborateurs (l’erreur humaine est à l’origine de la grande majorité des attaques), établir un plan de réponse aux incidents et sécuriser les accès (authentification forte).

Source : CNIL — Réutilisation de bases de données.

Le démarchage téléphonique agace les consommateurs depuis des années. Malgré la liste d’opposition Bloctel (2016, renforcée en 2020), ces sollicitations persistent, d’autant que très peu de Français y sont inscrits (environ 9 % des particuliers). Pour y remédier, l’Assemblée nationale a voté, le 27 janvier 2025, une loi qui change les règles du jeu en instaurant un système de consentement préalable obligatoire (opt-in), mettant fin au dispositif d’opposition a posteriori (opt-out).

Concrètement, les professionnels devront obtenir une autorisation claire avant de contacter quelqu’un par téléphone, sans pouvoir recourir à des clauses implicites pour contourner cette obligation. Certains secteurs connus pour leurs pratiques abusives sont particulièrement visés : la rénovation énergétique et les aides publiques, où le démarchage sera désormais interdit. L’interdiction s’étend aux SMS, courriels et réseaux sociaux pour éviter les contournements.

Le contrôle des fraudes est renforcé : les organismes attribuant des aides publiques pourront suspendre leur versement en cas de suspicion, et le secret professionnel est levé dans certains domaines pour faciliter le partage d’informations entre services fiscaux et sociaux. La loi fixe en outre des limites strictes sur la durée et la fréquence des appels (maximum deux sollicitations sur 60 jours), avec obligation de cesser immédiatement tout contact en cas de refus. Les sanctions sont alourdies : jusqu’à 500 000 euros d’amende, voire 20 % du chiffre d’affaires annuel en cas d’abus de faiblesse. Les entreprises concernées doivent dès à présent anticiper ces nouvelles obligations.

Source : Assemblée nationale — proposition de loi sur le démarchage téléphonique (vote du 27 janvier 2025).

La CNIL a publié, le 23 janvier 2025, un article rappelant les bonnes pratiques à respecter pour la réutilisation de bases de données personnelles — qu’elles soient vendues par des data brokers ou mises à disposition du public sur Internet. Elle souligne que les responsables de traitement qui utilisent de telles bases doivent vérifier que leur constitution ou leur partage n’est pas manifestement illicite.

Première étape : vérifier que la base n’est pas manifestement illicite. Sans aller jusqu’à des vérifications approfondies sur le respect de l’ensemble des règles applicables par le tiers, le réutilisateur doit s’assurer que la source des données est mentionnée, que la constitution ou la diffusion ne résulte pas manifestement d’un crime ou d’un délit, qu’aucune condamnation ou sanction publique n’entraîne une interdiction d’exploitation, que l’origine des données est suffisamment documentée, et que la base ne contient ni données sensibles ni données d’infraction.

Seconde exigence : encadrer la relation avec le détenteur des données. La CNIL recommande la conclusion d’un accord précisant la source, le contexte de la collecte, la base légale du traitement et, le cas échéant, l’existence d’une analyse d’impact. Le responsable de traitement doit s’assurer du respect de l’information des personnes concernées, et le détenteur initial garantir la licéité du partage.

Cette position clarifie les modalités d’utilisation des bases de données pour rester conforme au RGPD, mais rend aussi le partage plus contraignant pour les détenteurs initiaux. Il restera à voir comment les contrats évolueront et si les organismes suivront ces recommandations lors de l’achat de bases contenant des données personnelles.

Source : CNIL — Réutilisation de bases de données : les vérifications nécessaires.

La directive NIS 2, adoptée par l’Union européenne en 2022, vise à renforcer la cybersécurité des infrastructures critiques en imposant des exigences accrues aux États membres. Sa mise en œuvre varie toutefois d’un pays à l’autre.

La France : rattraper un retard préoccupant

Malgré un cadre existant solide, la France accuse un retard dans la transposition. Initialement prévue pour octobre 2024, elle pourrait ne pas être finalisée avant 2025, en raison de la complexité des consultations et de la coordination intersectorielle. Les entreprises, notamment les PME critiques, doivent anticiper leurs obligations, collaborer avec l’ANSSI et renforcer leur veille réglementaire.

L’Italie : une transposition en bonne voie

L’Italie progresse grâce à l’Agenzia per la Cybersicurezza Nazionale (ACN), créée en 2021, et visait une transposition d’ici fin 2024, malgré une fragmentation des compétences entre institutions. Les organisations doivent désigner des responsables cybersécurité, investir dans la formation et participer aux initiatives de l’ACN.

La Belgique : une avance notable

La Belgique se distingue par une transposition rapide, avec des lois en vigueur depuis 2023. Le Centre pour la Cybersécurité Belgique (CCB) coordonne les efforts nationaux et favorise les partenariats public-privé. Les entreprises doivent harmoniser leurs pratiques régionales et exploiter les ressources du CCB.

Dans les trois pays, les entités concernées doivent agir sans attendre : réaliser une évaluation des risques, mettre en place des plans de réponse aux incidents et former les équipes. La mise en conformité ne doit pas être perçue comme une contrainte, mais comme une opportunité de renforcer la résilience et la confiance des partenaires et clients.

Le 20 décembre 2024, la CNIL a condamné la société Kaspr à une amende de 240 000 euros pour plusieurs violations du RGPD, notamment liées à l’aspiration illégale de données (scraping) sur LinkedIn.

Kaspr proposait un service permettant d’extraire des données accessibles sur LinkedIn (noms, prénoms, entreprises, postes), puis de les enrichir avec des adresses e-mail et numéros de téléphone via d’autres sources, avant de les revendre à des fins commerciales. La CNIL a retenu plusieurs manquements : absence de base légale (collecte sans consentement ni autre fondement valable), non-respect des droits des personnes (absence d’information et d’opposition possible), durée de conservation excessive et sécurité insuffisante.

La décision rappelle que le caractère public des données ne les soustrait pas au RGPD : le scraping, même sur une plateforme ouverte comme LinkedIn, doit respecter les principes de licéité, de loyauté et de transparence. Des affaires similaires (Clearview AI, Meta) confirment cette position.

Les entreprises sont invitées à vérifier leurs bases légales, à mettre en place une information transparente, à respecter les droits des utilisateurs (accès, rectification, opposition), à sécuriser les données collectées et à se montrer vigilantes vis-à-vis du scraping, en s’assurant de sa conformité au RGPD et aux conditions d’utilisation des plateformes. La CNIL envoie un signal clair : la collecte massive de données en ligne sans cadre juridique strict expose à des risques juridiques et financiers majeurs.

Source : CNIL — Délibération du 20 décembre 2024 (sanction Kaspr).

Le 14 novembre 2024, la CNIL, réunie en formation restreinte, a infligé une amende de 50 millions d’euros à Orange SA (décision SAN-2024-019), soit environ 0,11 % de son chiffre d’affaires. L’affaire repose sur deux manquements : l’absence de consentement préalable à l’affichage de publicités sous forme de « faux » e-mails, et la poursuite de la lecture de cookies après le retrait du consentement.

Orange proposait, dans son service « Mail Orange », des annonces publicitaires intégrées à la liste des e-mails reçus. Visuellement proches de véritables messages, ces contenus relevaient selon la CNIL d’une prospection commerciale par voie électronique (article L. 34-5 du CPCE), nécessitant un consentement explicite (jurisprudence de la CJUE du 25 novembre 2021). Bien qu’Orange ait cessé cette pratique dès novembre 2023, la CNIL a relevé que 7,8 millions d’utilisateurs l’avaient subie, et que l’opérateur, seul interlocuteur des usagers, devait assumer la responsabilité de la collecte du consentement.

Le second manquement concerne l’article 82 de la loi Informatique et Libertés : malgré une interface de refus, certains traceurs à finalité publicitaire continuaient d’être lus après le retrait du consentement. La CNIL a rappelé que l’accès aux informations stockées sur le terminal demeure interdit sans consentement valide, indépendamment de l’usage réel des données.

Outre l’amende, la CNIL a ordonné à Orange de cesser la lecture des cookies en cas de retrait du consentement dans un délai de trois mois, sous astreinte de 100 000 euros par jour. Orange a annoncé son intention de contester la décision devant le Conseil d’État. À retenir : toute prospection électronique requiert un consentement préalable, les cookies non essentiels doivent cesser immédiatement en cas de refus, et les éditeurs doivent vérifier la conformité de leurs partenaires et documenter les consentements.

Source : CNIL — délibération SAN-2024-019 du 14 novembre 2024.

Plusieurs internautes ont saisi la CNIL pour signaler des pratiques trompeuses destinées à obtenir leur consentement aux cookies. Pour rappel, les éditeurs doivent recueillir le consentement avant de déposer des cookies commerciaux ou renvoyant vers des réseaux sociaux, et refuser les cookies doit être aussi simple que de les accepter.

La CNIL rappelle que l’information de la bannière doit être claire et complète, précisant à quoi servent les cookies et comment s’y opposer. Parmi les pratiques non conformes observées : une option de refus sous forme de lien dont la couleur, la taille et la police mettent en valeur de manière disproportionnée l’acceptation ; une option de refus qui se confond avec les mentions d’information du fait de son emplacement ; une option de refus accolée à d’autres paragraphes sans espacement suffisant pour la distinguer ; ou encore une acceptation présentée plusieurs fois alors que le refus n’apparaît qu’une seule fois, dans des termes peu explicites (« je décline les finalités non essentielles »).

Le nom des éditeurs n’a pas été divulgué. Ces derniers disposent d’un mois pour se mettre en conformité avec la loi Informatique et Libertés, sous peine d’une sanction pouvant atteindre 2 % du chiffre d’affaires mondial annuel.

À retenir : les bannières doivent permettre un consentement libre, éclairé, spécifique et prouvable ; les boutons « accepter » et « refuser » doivent avoir la même police et la même taille ; les mentions d’information requises doivent être accessibles, notamment via une politique de gestion des cookies ; et il doit être aussi facile de refuser que d’accepter. La CNIL renforce ainsi sa vigilance sur les interfaces manipulatrices (« dark patterns »).

Source : CNIL — mises en demeure relatives aux bannières cookies.

L’attaque massive qui a frappé Free illustre de manière alarmante combien les failles humaines peuvent constituer le premier vecteur des cyberattaques, et l’importance de combiner conformité RGPD et sensibilisation des équipes.

Un enchaînement d’erreurs humaines

L’attaque a débuté lorsqu’un agent de Free a transmis ses identifiants OpenVPN à un tiers — une infraction grave au principe de confidentialité (article 32 du RGPD). Ces identifiants ont donné un accès direct aux bases clients, contenant des millions d’informations sensibles. Les agents utilisaient des outils (Mobo, Siebel) donnant accès à des données personnelles, dont des IBAN, sans restriction ni limitation de privilèges, en contradiction avec le principe de minimisation. Après avoir compromis un compte, les attaquants ont contacté d’autres agents en se faisant passer pour le service informatique, exploitant leur méconnaissance des protocoles de sécurité — un effet domino. Bilan : 19,2 millions de comptes clients compromis et 5 millions d’IBAN exposés.

La faille humaine, un facteur sous-estimé

La faille humaine est la première cause des cyberattaques. Les entreprises doivent former leurs employés à l’ingénierie sociale et au phishing, mettre en place une authentification multifacteur (MFA) — qui aurait évité le partage d’identifiants — et adopter une approche « Zero Trust » limitant les accès au strict nécessaire.

Une gestion de crise perfectible

La fuite a été détectée tardivement, alors que des rumeurs circulaient en interne, et la notification (article 33, délai de 72 heures) aurait dû être plus rapide. La communication a manqué de proactivité, et les mesures correctives (rotation des accès, suspension du télétravail) n’ont été prises qu’après la compromission. Pour prévenir de tels incidents : formation continue, sécurisation des accès (MFA, moindre privilège), audits réguliers et plan de gestion de crise conforme au RGPD. La protection des données ne repose pas uniquement sur la technologie : la formation des utilisateurs est essentielle.

Source : analyse de l’incident Free (fin 2024).

Le 26 septembre 2024, la Cour de justice de l’Union européenne a rendu un arrêt dans l’affaire C-768/21, clarifiant le rôle et la marge d’appréciation des autorités de protection des données. Le litige portait sur la nécessité, ou non, d’adopter systématiquement des mesures correctrices (telles qu’une amende administrative) en cas de violation du RGPD.

Dans cette affaire, un client d’une caisse d’épargne allemande avait découvert qu’une employée avait accédé à ses données sans autorisation. La banque avait notifié l’incident à l’autorité compétente, mais pas directement le client. Saisie d’une réclamation, l’autorité de contrôle du Land avait conclu à l’absence de risque élevé (aucune copie ni transmission des données, mesures disciplinaires prises contre l’employée) et n’avait pas imposé de mesure corrective supplémentaire. Le client avait alors contesté cette décision devant le tribunal administratif de Wiesbaden, qui a interrogé la CJUE.

La Cour a rappelé que les autorités disposent d’une marge d’appréciation dans le choix des mesures correctrices : celles-ci ne doivent pas être systématiques, mais appropriées à la gravité de la violation, nécessaires pour rétablir la conformité et proportionnées. L’objectif du RGPD n’est pas punitif : il vise une application efficace et équitable du droit à la protection des données.

En l’espèce, la CJUE a validé l’approche de l’autorité allemande, estimant que les mesures internes prises par la banque étaient suffisantes. Cette jurisprudence renforce l’idée que les autorités de contrôle doivent agir avec discernement, en privilégiant une approche individualisée et proportionnée plutôt que des sanctions automatiques.

Source : CJUE, affaire C-768/21, arrêt du 26 septembre 2024.