Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2016 - n°418 - 359

Dix manquements de Cdiscount épinglés par la Cnil
Bien que disposant d'un correspondant Informatique et libertés depuis 2009 et d'une équipe dédiée
à la sécurité, Cdiscount est loin d'être irréprochable
en matière de protection des données personnelles.
La désignation d'un CIL, après la première sanction
de la Cnil le 6 novembre 2008 pour l'envoi de spams,
ne l'a pas empêché d'être à nouveau épinglé pour
ses multiples manquements à la loi Informatique
et libertés. Le 20 septembre 2016, la Commission a
prononcé un avertissement contre le site installé à
Bordeaux pour manquement à son obligation d'assurer la sécurité des données. Il lui était reproché
de conserver en clair, dans les champs commentaires de sa base de données, 4 179 numéros de
cartes bancaires. Vu le nombre de données en
cause mais aussi vu la nécessité de sensibiliser le
secteur de l'e-commerce, la Cnil a décidé de publier
sa décision. Le 26 septembre suivant, elle a rendu
une seconde décision dans laquelle elle a mis en
demeure Cdiscount de mettre fin à dix manquements constatés à la loi Informatique et libertés,
dans un délai de trois mois. Et eu égard au nombre
d'infractions et au potentiel important de personnes
concernées, le site comptant deux millions de visiteurs et réalisant 85 000 ventes par jour, la Cnil a décidé de rendre publique cette nouvelle décision, dans
une délibération du 3 octobre dernier. Depuis 2015,
la Cnil a reçu 80 plaintes relatives notamment à des
défaillances techniques de Cdiscount qui auraient
entrainé la divulgation de données personnelles à
des tiers non autorisés. Elle a donc effectué plusieurs
contrôles en ligne et sur place. Une délégation de la
Commission a procédé à une mission de contrôle
dans les locaux de la société. A cette occasion, ont
été découverts les numéros de cartes bancaires en
clair ainsi que 3 000 pictogrammes visuels associés
aux numéros de cartes dont 2 104 d'entre elles étaient
encore valides. Dans sa décision du 20 septembre,
la Cnil a estimé que Cdiscount n'avait pas mis les
moyens suffisants pour assumer son obligation de
sécurité et de confidentialité des données, malgré
le CIL et l'équipe dédiée. Ces informations ne font
l'objet d'aucune mesure de sécurité particulière
d'obfuscation ou de tokensisation, de manière

à en interdire l'accès à des tiers non autorisés. Peu
importe que la faute ait été commise par un prestataire, le recours à un sous-traitant ne déchargeant
pas le responsable du traitement de ses obligations,
rappelle la Cnil.
Parallèlement, la Commission a constaté dix autres
manquements à la loi. La société dispose d'un traitement sur les risques de fraude à la carte bancaire
qui n'a pas été autorisé par ses soins, comme
l'article 25 de la loi l'impose. La Cnil a aussi découvert la présence de commentaires sur des clients de
type « imbécile » ou « super chiant » sur sa base
de données, ce qui constitue un manquement à
l'obligation de collecter des données adéquates,
pertinentes et non excessives. Elle reproche aussi à
Cdiscount de conserver les coordonnées bancaires
de ses clients sans recueillir leur consentement,
même si c'est pour leur éviter de les ressaisir lors
d'un achat ultérieur. Selon la Cnil, le site ne peut
se prévaloir d'aucune des exceptions figurant à
l'article 7 de la loi. Il n'a pas davantage respecté
l'obligation d'informer les personnes concernées.
En effet, ses formulaires ne comportent pas les
mentions obligatoires. Elle dénonce également sa
politique d'information en matière de cookies, et
notamment pour ceux qui sont relatifs à la publicité
et qui nécessitent le recueil du consentement préalable de la personne. Même chose pour l'absence
d'informations dont l'internaute dispose pour s'opposer à ces cookies. Par ailleurs, Cdiscount envoie
des cookies dont il ne connaît pas toujours lui-même
la finalité et il en conserve certains jusqu'à plus de
30 ans, ce qui est franchement disproportionné par
rapport à la finalité du traitement. La Cnil considère
que le site est également très laxiste sur la politique de mots de passe, en permettant à ses clients
d'avoir des mots de passe de cinq caractères seulement ou d'accepter « 123456 ». Le site ne respecte
pas non plus le droit d'opposition des personnes
qui réclament leur désinscription à la newsletter.
Enfin, Cdiscount ne respecte pas son obligation de
disposer du consentement préalable des personnes
à recevoir de la prospection commerciale électronique, à l'ouverture d'un compte sans achat.

CASSATION : REFUS D'INSCRIPTION SUR LA LISTE DES EXPERTS
JUDICIAIRES EN INFORMATIQUE
Dans un arrêt du 22 septembre 2016, la Cour de cassation a estimé que l'assemblée générale
des magistrats du siège de la cour d'appel de Versailles n'avait pas commis d'erreur manifeste
en refusant d'inscrire un candidat sur la liste des experts judiciaires dans la rubrique industrie électronique et informatique - logiciels et matériels (E 01.03). Le candidat malheureux avait formé un
recours contre la délibération de l'assemblée générale qui avait refusé son inscription au motif de
l'absence de formation et d'expérience dans la spécialité dans laquelle l'inscription était demandée.
En cassation, il avait indiqué avoir une compétence spécifique dans la spécialité consistant à
mesurer et à confirmer le bon usage des licences de logiciels au regard des droits acquis.
EXPERTISES NOVEMBRE 2016

359

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2016 - n°418