Le Conseil d’État détaille l’obligation de notification des failles de sécurité, l’une des pierres angulaires du RGPD. Cette obligation d’alerte de la CNIL disparaît quand c’est l’autorité elle-même qui informe le responsable de traitement de l’existence de la brèche. Si du moins les informations en sa possession sont suffisantes pour engager un contrôle.
L’arrêt rendu le 22 juillet concernait un défaut de sécurisation de données sensibles, des imageries médicales d’un serveur détenu par un chirurgien orthopédiste. En libre accès, pas moins de cinq mille trois cents images médicales, avec nom, prénom, date de naissance, nom des praticiens, etc.
Alerté de cette fuite par l’autorité elle-même le 8 octobre 2019, le professionnel de santé avait colmaté la brèche dès le lendemain.
Fin 2020, la CNIL prononçait malgré tout à son encontre une amende de 3 000 euros pour ne pas avoir respecté les articles 32 et 33 du règlement européen. Ces deux dispositions sont respectivement relatives à l’obligation de sécurité et l’obligation de notification des violations de données.
Un manquement à l’obligation de sécurité
Le professionnel de santé avait reconnu avoir un peu trop ouvert ses accès « pour faire fonctionner son » VPN « , dont il avait paramétré lui-même la fonction serveur du logiciel d’imagerie « HOROS » sans recourir à un prestataire », résume l’arrêt.
Par ailleurs, il n’avait pas chiffré ces données « ce qui permettait à toute personne prenant possession de ses appareils ou s’introduisant de manière indue sur le réseau auquel ces appareils étaient raccordés de prendre connaissance de ces données ».
Autant de manquements caractérisés à l’obligation de sécurité, confirmés par le Conseil d’État. Cependant, la même juridiction a réformé la décision de la CNIL s’agissant de l’absence de notification.