La CNIL inflige 400 000 euros d’amende à l’administrateur de biens Sergic
Fiches de paie, avis d’imposition, pièces d’identité… Des milliers de documents de candidats se sont retrouvés en accès libre à la suite d’un défaut de sécurité informatique.
La Commission nationale de l’informatique et des libertés (CNIL) a infligé, début juin, une amende de 400 000 euros à Sergic, le quatrième plus important administrateur de biens immobiliers français, pour défaut de sécurité informatique et conservation illégale de données personnelles, notamment des candidats locataires. Le groupe familial indépendant, dont le siège est à Wasquehal (Nord), a mis en place une plate-forme Internet sur laquelle les candidats à une location sont invités à télécharger leurs documents, fiches de paie, contrat de travail, avis d’imposition, pièces d’identité… Des données sensibles, certaines d’ailleurs que les administrateurs de biens ont, en vertu de la loi ALUR du 24 mars 2014, interdiction de réclamer aux locataires. Or, l’un de ces clients s’est aperçu qu’il pouvait facilement accéder aux dossiers de milliers de candidats. En août 2018, ce dernier a alerté la CNIL qui a procédé à un test et a pu, à distance, télécharger plus de 4 000 dossiers au sein d’un répertoire de 290 870 fichiers. « Il y avait des données très personnelles, cartes Vitale, jugements de divorce, documents bancaires, raconte Sylvain Staub, avocat spécialisé en droit des données informatiques. Une telle faille informatique n’est pas tolérable dans une société qui emploie 486 personnes et a réalisé, en 2017, un chiffre d’affaires de 43 millions d’euros. » La CNIL déplore que Sergic ait mis plus de six mois à réparer cette fuite. Second grief Contactée, la société indique qu’il s’agit d’un « incident de sécurité survenu en période estivale et qui n’a causé aucun préjudice, puisque aucune utilisation malveillante des données n’a été signalée ». Quant aux pièces interdites de collecte, elle prétend ne pas les avoir demandées mais que les locataires les ont spontanément téléchargées. Un second grief adressé à Sergic par la CNIL est d’avoir conservé ces données bien au-delà de la période nécessaire, en particulier les dossiers non retenus. « La loi et le règlement général sur la protection des données indiquent que le délai de conservation des données doit être proportionné à leur finalité, rappelle Sylvain Staub. La CNIL entend, avec une telle sanction, faire un exemple. Le secteur de l’immobilier, qui recueille beaucoup de données, est désormais dans son viseur. » De son côté, Sergic pourrait saisir le Conseil d’Etat.