En Direct
1 min de lecture
Optical Center condamné à une amende record pour avoir exposé les données de ses clients
La Cnil a infligé une amende de 250.000 euros à la chaîne de magasins d'optique après avoir constaté qu'il était possible d'accéder à certaines informations personnelles de ses clients sur son site Internet.
Présentoir de lunettes dans une boutique d'opticien
Crédit : DENIS CHARLET / AFP
La Cnil inflige une amende record à Optical Center pour un manquement dans la sécurisation des données de ses clients. L'autorité de protection des informations personnelles a annoncé jeudi 7 juin qu'elle prononçait une amende de 250.000 euros à la chaîne de magasins d'optique pour ne pas avoir suffisamment protégé les données de ses clients effectuant une commande en ligne depuis son site Internet. C'est la première fois que la Cnil prononce une sanction de cette ampleur. Une amende de 50.000 euros avait déjà été infligée à la société pour un défaut de sécurité en 2015.
Des données sensibles facilement accessibles
Dans son communiqué, la Cnil indique avoir été alertée en juillet 2017 d'une fuite de données conséquentes concernant Optical Center. Lors d'un contrôle en ligne, l'autorité a constaté qu'il était possible d'accéder à des centaines de factures de clients de l'entreprise en renseignant plusieurs URL dans un navigateur. Selon la Cnil, ces factures contenaient "des données telles que le nom, prénom, adresse postale, des données de santé voire le numéro de sécurité sociale des personnes concernées".
La Cnil déplore également que le site Internet d'Optical Center n'ait pas intégré de fonctionnalité permettant de vérifier qu'un client est bien connecté à son espace client avant d'afficher ses factures, soulignant qu'il était ainsi relativement simple d'accéder aux documents d'un autre client de l'entreprise.
Des faits constatés avant l'application du RGPD
Cette amende de 250.000 euros est relativement modeste au regard du pouvoir de sanction accru conféré à la Cnil par le règlement européen sur la protection des données personnelles (RGPD) entré en vigueur dans les 28 États membres le 25 mai. Le nouveau cadre communautaire prévoit des sanctions pouvant aller jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel pour les entreprises manquant à leurs obligations. Mais le texte ne couvre pas les faits constatés avant son application.