Les obligations en matière de sécurité des données personnelles
Les données à caractère personnel doivent être traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, ou l'accès par des personnes non autorisées, à l'aide de mesures techniques ou organisationnelles appropriées. Sont punis :
- le fait de procéder ou de faire procéder à un traitement de données à caractère personnel, sans mettre en œuvre les mesures de sécurité prescrites en ce sens, au RGPD ou dans loi Informatique et Libertés ;
- le fait pour un fournisseur de services de communications électroniques ou pour un responsable de traitement, de ne pas procéder à la notification, sans délai, d'une violation de données à caractère personnel à la CNIL ou à l'intéressé ;
- le fait de collecter, de manière intentionnelle, des données à caractère personnel par un moyen frauduleux, déloyal ou illicite.
Les responsabilités des responsables de traitement
Toute personne qui ordonne ou effectue un traitement d'informations nominatives s'engage de ce fait, vis-à-vis des personnes concernées, à prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d'empêcher qu'elles soient déformées, endommagées ou communiquées à des tiers non autorisés. Un manquement à la sécurité informatique est constitué, dès lors que l’accès à un serveur n’est encadré d’aucune mesure de restriction d’accès satisfaisante dans la mesure où il est possible d’y accéder à partir d’une URL composée d’une adresse IP facilement identifiable à l’aide de programmes de balayage de ports, qui sont disponibles sur le web et souvent utilisés par les attaquants afin de détecter des serveurs non ou mal sécurisés.
Sanctions prévues par l'article 226-17-1
L'article 226-17-1 punit de cinq ans d’emprisonnement et de 300 000 euro d’amende le fait pour un fournisseur de services de communications électroniques ou pour un responsable de traitement de ne pas procéder à la notification d'une violation de données à caractère personnel à la CNIL ou à l'intéressé.
