cyberattaque

Obligations des organismes détenant des données personnelles (fichiers clients, fichiers des administrations)

La CNIL, Commission Nationale Informatique et Liberté, a pour mission de veiller au respect des règles du RGPD, Règlement Général de la Protection des Données.

Les créateurs et détenteurs de tels fichiers doivent pouvoir prouver leur conformité au RGPD. Ils sont responsables de la sécurisation des données collectées et doivent mettre en place toutes les solutions permettant de la garantir.

Les données stockées doivent être en rapport avec l’activité de l’organisme.

Sur demande, les données vous concernant doivent vous être communiquées sous un mois. Il est possible d’en demander l’effacement.

La CNIL peut intervenir en cas de manquement, émettre des rappels à l’ordre, des mises en demeure de se mettre en conformité et, si nécessaire limiter ou interdire l’exploitation de ces données.

L’organisme victime d’une cyberattaque avec vol de données personnelles doit en informer la CNIL sous 72H ainsi que les personnes concernées en précisant les risques encourus.

Pour les structures vitales de la nation (ministères, hôpitaux, SNCF, EDF …) l’ANSSI, Agence Nationale de la Sécurité des Systèmes d’Informations, intervient pour stopper l’intrusion, analyser les modes d’attaques et diffuser les informations recueillies auprès des professionnels pour appliquer de nouvelles protections.

La CNIL s’assure que les victimes ont correctement été informées et que les mesures de sécurité implémentées par l’organisme étaient adaptées. En cas de manquement avéré, des sanctions financières peuvent être prononcées. Les actions de la CNIL sont rendues publiques ce qui a pour effet de sensibiliser les acteurs (Name and Shame)

Exemples d’interventions et de sanctions

-          Free et Free Mobiles : 42 millions d’€ d’amende pour des mesures de sécurités insuffisantes et pour ne pas avoir correctement informé les personnes concernées quant aux risques encourus.

-          France Travail : 5 millions d’amende pour ne pas avoir corrigé des failles de sécurité détectées et pour une politique d’habilitation des conseillers trop large ayant permis l’intrusion.

-          Plusieurs sites d’E-Commerce : de 10000 à 180000€  pour des protections d’accès insuffisantes et non correction  des failles logicielles connues.

Tous les organismes concernés par le RGPD ont une obligation légale de moyens en accord avec l’état de l’art.

Quelles stratégies adopter ?

Il est de la responsabilité de chacun d’être vigilant et attentif à toutes tentatives d’escroqueries détectées dans le monde numérique : origine réel des emails reçus, incitation à se connecter par simple clic à un site que l’on ne connait pas, sollicitations téléphoniques réclamant la transmission de données personnelles de type bancaire ou autre…

En cas de doute, il est important de documenter tous les échanges suspects : copies d’écran de mails ou de SMS faisant apparaitre l’identité du demandeur et ses coordonnées, relevé de banque des mouvements suspects, copie des échanges avec les conseillers bancaires.

Le courrier d’information indiquant que vos données ont été volées sert de preuve et sa date précise le début de la période à risque et donc de surveillance accrue.

De plus, il est possible de savoir si vos données personnelles ont été volées et circulent sur le dark web via des plateformes de vérification gratuites du type Have I Been Pwned  ou associées à votre gestionnaire de mots de passe.

Face à un piratage avéré de vos données, pour faire valoir vos droits, il faut porter plainte auprès de la CNIL qui pourra enquêter sur l’organisme et porter plainte au pénal auprès de la gendarmerie ou sur les sites THESEE ou Cybermalveillance. Pour obtenir réparation du préjudice moral et financier subi, il convient de saisir le tribunal judiciaire personnellement ou associé à un recours collectif. Le RGPD art82 reconnait le préjudice moral dû au stress et à l’anxiété face au risque d’usurpation d’identité

Dès connaissance d’une fuite de vos données, il convient :

-          De modifier le mot de passe de sa messagerie s’il est identique à celui utilisé pour l’accès au site piraté

-          De modifier immédiatement le mot de passe du site concerné et de s’assurer que ce mot de passe n’est pas utilisé sur d’autres sites.

-          Activer la double authentification sur tous les sites le permettant

-          Passer en vigilance accrue sur relevés bancaires, emails, SMS…

Pour améliorer la protection des accès à vos sites, utiliser des gestionnaires de mots de passe indépendants tels Bitwarden, Protonpass ou 1password qui associent un mot de passe différent à chaque site. Pour sécuriser davantage, utiliser des Passkey qui associent l’accès à une identification anthropométrique (empreinte ou reconnaissance faciale).

La Suisse et l’Islande sont les pays les plus sûrs en matière de sécurité des données. La France, de son côté, dispose avec la CNIL d'une autorité de contrôle particulièrement active et sévère pour faire respecter la loi.