Uber condamné à 400.000 euros d'amende par la Cnil après son piratage de 2016

Les sanctions contre Uber se multiplient en Europe. Un peu plus d'un an après la révélation du piratage massif dont a été victime l'entreprise, la Commission nationale de l'informatique et des libertés (Cnil) a infligé 400.000 euros d'amende au service de VTC pour avoir "insuffisamment sécurisé les données des utilisateurs" de son service, a-t-elle annoncé dans un communiqué publié jeudi 20 décembre. 

L'autorité française de protection des données personnelles estime qu'Uber a manqué à ses obligations de sécurité des informations personnelles dans le piratage massif qui a permis à des cybercriminels de mettre la main sur les données de 57 millions de ses utilisateurs clients et chauffeurs en 2016, dont 1,4 million de Français, soit la quasi-totalité des comptes de l'Hexagone à l'époque des faits.

En octobre 2016, deux individus ont pénétré dans le cloud d'Uber pour dérober des données. Informée du piratage dès novembre 2016 par les cybercriminels eux-mêmes, la firme leur avait réglé 100.000 dollars afin qu'ils ne le révèlent pas et effacent les données dérobées, qui comprenaient des noms, prénoms, mails et numéros de téléphone. Uber n'avait ensuite révélé l'existence de l'attaque qu'en novembre 2017, un an plus tard.

Le RGPD européen pas applicable

Au terme d'une enquête menée au niveau européen par le G29, la Cnil a estimé que l'attaque aurait pu être évitée "si certaines mesures élémentaires en matière de sécurité avaient été mises en place". Il est notamment reproché à Uber d'avoir conservé en clair des identifiants permettant d'accéder au serveur de la plateforme informatique collaborative de développement de l'entreprise.

À lire aussi

Connecté

Pourquoi Google se moque d'Apple dans une publicité pour son futur smartphone Pixel 10 ?

Cible de diverses procédures après ce piratage, Uber avait déjà conclu en septembre dernier un accord à l'amiable de 148 millions de dollars avec les autorités américaines. Il s'agit de l'amende la plus importante jamais infligée dans le cadre d'un accord relatif à une violation de données. En Europe, l'entreprise a été mise à l'amende fin novembre aux Pays-Bas (600.000 euros) et en Grande-Bretagne (435.000 euros) pour avoir dissimulé le piratage.

Les sanctions européennes auraient pu être bien plus lourdes. La Cnil souligne qu'au regard de la date des faits, le règlement général européen de protection des données personnelles en vigueur depuis mai 2018 n'était pas applicable. Dans le cas contraire, Uber aurait dû déclarer le piratage à la Cnil dans les 72 heures suivant sa découverte et aurait pu être sujet à une amande allant de 2 à 4% de son chiffre d'affaires mondial.