Dans la lignée des condamnations pour manquement au Règlement général sur la protection des données (RGPD) d’AMAZON EUROPE CORE (35 millions d’euros) et de TOTAL ÉNERGIES ÉLECTRICITÉ ET GAZ DE France (1 millions d’euros), la CNIL vient de condamner, le 8 septembre DERNIER, le GIE INFOGREFFE à une amende de 250 000 €.
Groupement d’intérêt économique créée en 1986, INFOGREFFE est un service public qui permet l’accès via une plateforme en ligne aux informations légales des entreprises (extrait k-bis, comptes annuels, statuts, etc.) déposées par les greffiers des tribunaux de commerce français ainsi que la dématérialisation des démarches auprès de ces derniers (création d’entreprise, dépôt d’actes, dépôt des comptes, radiation, etc). Il permet également la mise en place de surveillance pour vérifier le changement de situation d’une société.
Suite à la plainte d’un utilisateur, la CNIL a enquêté puis constaté des manquements aux obligations quant à la durée de conservation ainsi qu’à la sécurité des données personnelles imposées par les articles 5.1.e et 32 du RGPD.
En effet, l’article 5 du RGPD dispose que « Les données à caractère personnel doivent être : (…) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». En l’espèce, la CNIL a notamment constaté que 25 % des données étaient conservées au-delà du délai de 36 mois indiqué par la plateforme.
L’article 32 du RGPD quant à lui, prévoit notamment que « le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». La CNIL a considéré qu’INFOGREFFE avait manqué à cette obligation de sécurité des données personnelles dans la mesure où le mot de passe sollicité pour accéder à son compte n’était pas assez fiable du fait de sa taille limité à 8 caractères, ceux-ci étant également conservés en clair dans sa base de données.
INFOGREFFE a mis en place certaines mesures en vue de répondre à ces manquements mais n’a pu éviter la sanction de la CNIL.
