La sécurisation des données est très contrôlée par des organismes comme la CNIL. Dans le cas de Darty, il s'agit d'une faille potentielle dans les formulaires liés au SAV et mis en place par un prestataire extérieur. C'est ce qu'a mis en avant l'enseigne dans un communiqué : " Darty a utilisé une solution logicielle fournie par un prestataire tiers (reconnu du marché et par ailleurs prestataire de la CNIL) en mode SaaS (hébergée chez ce prestataire) pour le traitement de son flux de données SAV. Le prestataire a mis en oeuvre, à l’insu de Darty, une fonctionnalité de l’application que Darty n’avait pas sollicitée et n’a donc pas utilisé. Cette fonctionnalité s’est révélée comporter une potentielle faille de sécurité, corrigée par le prestataire depuis. Dans ces conditions et alors que la CNIL n’a constaté aucune fuite de données, nous nous étonnons de cette décision et nous réservons nos droits au titre d’un éventuel recours."
Si la data est devenu un élément clé de la croissance d'une entreprise, et notamment dans le commerce, elle est aussi un facteur de méfiance pour le consommateur. c'est pour cette raison que chaque incident de ce type peut avoir des répercussions désastreuses en terme d'image.
Pour comprendre exactement ce que reproche la CNIL à Darty, voici dessous le communiqué intégral relayé par l'organisme de contrôle.
Le communiqué de la CNIL du 9 janvier 2018
DARTY : sanction pécuniaire pour une atteinte à la sécurité des données clients
"La formation restreinte de la CNIL prononce une sanction de 100 000 euros à l’encontre de la société DARTY pour ne pas avoir suffisamment sécurisé les données de clients ayant effectué une demande en ligne de service après-vente.
En février 2017, la CNIL a été informée de l’existence d’un incident de sécurité concernant le traitement des demandes de service après-vente des clients de la société ETABLISSEMENTS DARTY ET FILS.
Lors d’un contrôle en ligne réalisé début mars 2017 les équipes de la CNIL ont pu constater qu’une défaillance de sécurité permettait d’accéder librement à l’ensemble des demandes et des données renseignées par les clients de la société, via un formulaire en ligne de demande de service après-vente. Plusieurs centaines de milliers de demandes ou réclamations contenant des données telles que les nom, prénom, adresse postale, adresse de messagerie électronique ou numéro de téléphone des clients étaient potentiellement accessibles.
Le contrôle sur place réalisé quinze jours plus tard a révélé que le formulaire de demande de service après-vente, à l’origine du défaut de sécurité, avait été développé par un prestataire commercialisant un logiciel de service après-vente « sur étagère ». Lors du contrôle, la société ETABLISSEMENTS DARTY ET FILS a indiqué avoir recours à un autre formulaire distinct et ne pas utiliser celui à l’origine de l’incident.
Les vérifications opérées par la CNIL ont pourtant permis de constater que les fonctionnalités du logiciel rendant accessible le formulaire développé par son prestataire n’avaient pas été désactivées. Elles ont également révélé que le prestataire n’avait pas mis en place de filtrage des adresses URLs, qui aurait permis d’empêcher à des tiers non autorisés d’accéder aux données des clients contenues dans l’outil de gestion des demandes de service après-vente via le formulaire défectueux.
Alors même qu’elle avait informé la société de cet incident de sécurité, la CNIL a constaté que les fiches des clients étaient toujours accessibles entre le premier et le second contrôle et que de nouvelles fiches avaient été créées dans ce laps de temps. Le soir même du second contrôle, la société l’informait des mesures prises pour remédier à cet incident.
La Présidente de la CNIL a désigné un rapporteur afin que soit engagée une procédure de sanction à l’encontre de la société ETABLISSEMENTS DARTY ET FILS.
La formation restreinte de la CNIL a prononcé une sanction d’un montant de 100.000 euros, estimant que la société avait manqué à son obligation de sécurité des données personnelles, en méconnaissance de l’article 34 de la loi Informatique et Libertés.
La formation restreinte a considéré que le simple fait que la société fasse appel à un prestataire sous-traitant ne la décharge pas de son obligation de préserver la sécurité des données traitées pour son compte, en sa qualité de responsable du traitement.
La société aurait dû s’assurer préalablement que les règles de paramétrage de l’outil mis en œuvre pour son compte ne permettaient pas à des tiers non autorisés d’accéder aux données des clients. Cette vérification préalable d’absence de vulnérabilité fait partie des tests élémentaires qui doivent être réalisés par une société en matière de sécurité des systèmes d’information.
Par ailleurs, en sa qualité de responsable de traitement, la société aurait dû procéder de façon régulière à la revue des formulaires permettant d’alimenter l’outil de gestion des demandes de service après-vente. A ce titre, la formation restreinte a considéré qu’une bonne pratique en matière de sécurité des systèmes informatiques consiste à désactiver les fonctionnalités ou modules d’un outil qui ne seraient pas utilisés ou pas nécessaires.
La formation restreinte a néanmoins tenu compte notamment de l’initiative du responsable de traitement de diligenter un audit de sécurité après cette atteinte à la sécurité des données ainsi que de sa bonne coopération avec les services de la CNIL."
