La CNIL inflige une amende de 100 000 euros à Darty suite à une enquête
Qui a établi que les données de nombreux clients étaient accessibles en ligne

Le , par Stéphane le calme, Chroniqueur Actualités
En février, le site spécialisé Zataz avait remarqué qu’en modifiant l’adresse Internet reçue de Darty pour le suivi d’une demande adressée au service après-vente, il était possible d’accéder à toutes les autres demandes – et donc aux informations personnelles de leur auteur. Il a donc entrepris de prévenir la CNIL d’une violation de données à caractère personnel à partir de l’URL http://darty.epticahosting.com/selfd...ty/register.do . L’éditeur indiquait que cette violation aurait permis d’accéder à plusieurs milliers de données de clients de la société.
Aussi, une délégation de la Commission a procédé à des missions de contrôle en ligne et sur place au sein des locaux de la société les 2 et 15 mars 2017.

Lors du contrôle en ligne du 2 mars 2017, la délégation a constaté que l’URL http://darty.epticahosting.com/selfd...ty/register.do renvoyait vers un formulaire permettant aux clients de la société de déposer une demande de service après-vente. Une fois le formulaire obligatoirement complété d’une adresse électronique et d’un mot de passe, un lien hypertexte correspondant au numéro d’enregistrement de la demande permettait d’accéder à son suivi. La délégation a constaté que cet identifiant (un numéro de ticket ) est contenu dans l’adresse URL construite de la façon suivante : http://darty.epticahosting.com/selfd...ests.do?id=XXX . Elle a relevé qu’en modifiant le numéro d’identifiant dans cette adresse URL, les fiches de demande de service après-vente remplies par d’autres clients de la société étaient accessibles.

La délégation a ainsi pu relever que 912 938 fiches étaient potentiellement accessibles et a procédé au téléchargement, par échantillonnage, de 7417 d’entre elles. Il a été constaté que des données à caractère personnel de clients étaient accessibles sur des fiches, telles que leur nom, prénom, adresse postale, adresse de messagerie électronique ainsi que leurs commandes.
À l’issue du contrôle, la délégation a pris contact avec la société pour l’informer de l’existence de cette violation de données à caractère personnel.


Lors du contrôle sur place effectué au sein des locaux de la société le 15 mars 2017, ayant pour objet de vérifier les mesures correctrices prises à la suite de la révélation de la violation de données, la délégation a été informée du fait que la société utilise pour la gestion des demandes de service après-vente de ses clients un outil fourni par son sous-traitant, la société EPTICA.
Si le formulaire problématique n’a pas été développé par Darty, mais par un prestataire, cela « ne décharge pas [Darty] de son l’obligation de préserver la sécurité des données traitées pour son compte, en sa qualité de responsable du traitement. La société aurait dû s’assurer préalablement que les règles de paramétrage de l’outil mis en œuvre pour son compte ne permettaient pas à des tiers non autorisés d’accéder aux données des clients. »

Cet outil est en principe alimenté par deux sources : le formulaire de demande de service après-vente accessible depuis le site de la société www.darty.com et les demandes adressées par courrier électronique à une adresse dédiée. Le formulaire accessible depuis l’URL litigieuse http://darty.epticahosting.com/selfd...ty/register.do constitue une troisième source d’alimentation. Ce dernier formulaire, dont la société indique n’avoir pas eu connaissance, correspond au formulaire natif développé et commercialisé par la société EPTICA dans sa solution de gestion des demandes de service après-vente. La société a précisé qu’elle ne l’utilisait pas et qu’il n’aurait pas dû être accessible.

La délégation de la CNIL a, en outre, été informée de ce que l’URL de la forme http://darty.epticahosting.com/selfd...ests.do?id=XXX permet d’accéder à l’intégralité des demandes contenues dans l’outil de gestion des demandes de service après-vente, y compris aux demandes formulées via le formulaire disponible sur le site www.darty.com et par courriers électroniques.
La société lui a également indiqué avoir contacté la société EPTICA dès le 6 mars 2017 afin qu’elle prenne les mesures nécessaires, cette dernière lui ayant précisé que les modifications, non aisées à déployer, n’étaient pas mises en place.

La délégation a alors constaté qu’en modifiant l’identifiant numérique dans l’URL http://darty.epticahosting.com/selfd...ests.do?id=XXX , 918 721 fiches de demande de service après-vente de clients étaient toujours accessibles, dont 5783 nouvelles fiches créées depuis le contrôle en ligne.
Après avoir délibéré, la formation restreinte de la CNIL a décidé :
  • de prononcer une sanction pécuniaire à l’encontre de la société ÉTABLISSEMENTS DARTY ET FILS d’un montant de 100 000 (cent mille) euros ;
  • de rendre publique sa délibération, qui sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication.


« La formation restreinte relève que la société a fait preuve de négligence dans le suivi des actions de son sous-traitant, ce qui a permis l’accessibilité de données à caractère personnel variées et directement identifiantes se rapportant à de nombreux clients.

« Si la formation restreinte prend acte de l’absence de traitement de données sensibles telles que définies à l’article 8 de la loi du 6 janvier 1978 modifiée ou de données bancaires, pour autant, elle considère que le manquement à la sécurité et à la confidentialité est grave en raison de la multitude de catégories de données traitées qui révèlent des informations sur les personnes et leur vie privée, au travers notamment des commandes passées.

« La formation restreinte note, en revanche, que la société a réagi dès qu’elle a eu connaissance de la violation de données en alertant son sous-traitant et qu’il a été mis fin à la violation de données dans un délai raisonnable. Elle relève également que la société a pris l’initiative, après la survenance de la violation de données, de faire procéder à un audit de sécurité en août 2017 sur la nouvelle version de l’outil de gestion des demandes de service après-vente proposé par son prestataire. Elle note, enfin, sa bonne coopération avec la Commission.

« Au regard de ces éléments, une sanction d’un montant de 100 000 (cent mille) euros apparaît proportionnée. »

La Commission aurait pu décider de garder la sanction secrète. Elle a décidé de la rendre publique afin de « sensibiliser les internautes quant au risque pesant sur la sécurité de leurs données. »

Source : journal officiel

Et vous ?

Que pensez-vous de cette décision ?
Partagez-vous le point de vue de la CNIL qui estime qu'un établissement peut porter la responsabilité d'un travail qui lui a été livré par un sous-traitant ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse Signaler un problème

Avatar de Marco46 Marco46 - Modérateur https://www.developpez.com
le 10/01/2018 à 10:17

Elle a relevé qu’en modifiant le numéro d’identifiant dans cette adresse URL, les fiches de demande de service après-vente remplies par d’autres clients de la société étaient accessibles.

La délégation a ainsi pu relever que 912 938 fiches étaient potentiellement accessibles et a procédé au téléchargement, par échantillonnage, de 7 417 d’entre elles. Il a été constaté que des données à caractère personnel de clients étaient accessibles sur des fiches, telles que leur nom, prénom, adresse postale, adresse de messagerie électronique ainsi que leurs commandes.
Et ben ! C'est la bonne grosse boulette de stagiaire lol

On notera les url en http au lieu de https, c'est bô.


La société lui a également indiqué avoir contacté la société EPTICA dès le 6 mars 2017 afin qu’elle prenne les mesures nécessaires, cette dernière lui ayant précisé que les modifications, non aisées à déployer, n’étaient pas mises en place.
C'est une blague c'est pas possible lol

la société a fait preuve de négligence dans le suivi des actions de son sous-traitant
Le truc c'est que de ce que je vois sur le site de Eptica il ne s'agit pas d'une SS2I qui a réalisé un produit au forfait pour le compte de Darty mais bien d'un éditeur de logiciel qui fournit donc une solution générique (ça doit donc se reproduire ailleurs).

Est-ce qu'une société cliente peut attaquer une société fournisseur en justice parce qu'il y a des failles de sécu dans l'absolu, même énormes ? Ça dépend pas du contrat ?

Le problème c'est que souvent on a ça avec les logiciels :


THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT HOLDER OR CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
Ce qui en français signifie, tu choisis d'utiliser le logiciel, très bien, mais aucun dommage d'aucune sorte ne peut être porté à la responsabilité des auteurs du logiciel.

Bon là c'est quand du lourd mébon ... C'est au delà de la faille c'est juste de l'incompétence mais quand même c'est compliqué en terme de responsabilité, je vois pas trop comment on peut tenir Darty responsable.
Avatar de Doksuri Doksuri - Membre chevronné https://www.developpez.com
le 10/01/2018 à 10:23
Citation Envoyé par Marco46 Voir le message
Et ben ! C'est la bonne grosse boulette de stagiaire lol
pas forcement, beaucoup de grosses boites ne font rien tant qu'on ne leur tape pas sur les doigts
Avatar de Marco46 Marco46 - Modérateur https://www.developpez.com
le 10/01/2018 à 10:57
Désolé mais ne pas check que les données que tu sers sont bien celles du client connecté c'est de l'ordre de la boulette de stagiaire. Allez c'est niveau junior avec 1 an d'xp. Faut arrêter lol
Avatar de BenaeSan BenaeSan - Membre du Club https://www.developpez.com
le 10/01/2018 à 11:27
J'ai déjà vu ça dans une petite boîte qui bossée pour un grand groupe français, les identifiants et Mdp transitent en clair dans les urls en GET envoyés dans des e-mails.

Je rejoins l'avis de @Doksuri, c'est plus fréquent qu'on ne pense.
Par contre pour la responsabilité, c'est quand même clairement Darty qui est en tort. Ils ont pris ce presta qui a proposé cette solution et c'est bien quelqu'un de chez Darty qui a dû valider.
Avatar de Neckara Neckara - Expert éminent sénior https://www.developpez.com
le 10/01/2018 à 11:33
Citation Envoyé par Marco46 Voir le message
Est-ce qu'une société cliente peut attaquer une société fournisseur en justice parce qu'il y a des failles de sécu dans l'absolu, même énormes ? Ça dépend pas du contrat ?
Du contrat et de la licéité des clauses invoquées.

En l'absence de clauses sur le sujet, ce sera la loi ou la jurisprudence qui s'appliquera.
À priori on pourrait faire valoir une non-conformité du produit (?), voire peut être même des vices cachés.

Citation Envoyé par Marco46 Voir le message
Le problème c'est que souvent on a ça avec les logiciels :

Ce qui en français signifie, tu choisis d'utiliser le logiciel, très bien, mais aucun dommage d'aucune sorte ne peut être porté à la responsabilité des auteurs du logiciel.
À partir du moment où tu payes, il y a contrat de vente, avec tout ce que cela implique.
La clause sera ainsi très certainement déclarée nulle, faisant valoir que le prestataire a au minimum une obligation de moyens.

Citation Envoyé par Marco46 Voir le message
mais quand même c'est compliqué en terme de responsabilité, je vois pas trop comment on peut tenir Darty responsable.
Les "contrats" sont entre les clients et Darty. Darty est donc responsable, quoi qu'il advienne.
Ce ne sont pas aux clients de se retourner contre le prestataire de Darty qui a la responsabilité de ses propres prestataires. C'est à Darty de choisir soigneusement ses prestataires et d'effectuer les actions et contrôles adéquats afin de s'assurer et de garantir la qualité des prestations.

En revanche, Darty peut par la suite se retourner contre ses prestataires car il a lui-même un contrat avec eux.

Pour résumé on a :
Clients <-> Darty <-> Prestaires.

L'interlocuteur des clients est Darty, et celui de Darty sont les prestataires. En cas de problèmes, les clients doivent s'adresser à Darty, et Darty à ses prestataires.

Citation Envoyé par Marco46 Voir le message
Désolé mais ne pas check que les données que tu sers sont bien celles du client connecté c'est de l'ordre de la boulette de stagiaire. Allez c'est niveau junior avec 1 an d'xp. Faut arrêter lol
Ce n'est pas très gentil envers les stagiaires.

Quoi qu'il en soit, les boulettes peuvent arriver à tout le monde, stagiaire ou vétéran, et c'est aussi à l'entreprise de contrôler et de garantir la qualité du code... encore plus quand il est produit par des stagiaires.
Avatar de Marco46 Marco46 - Modérateur https://www.developpez.com
le 10/01/2018 à 12:38
Je suis pas certain qu'il s'agisse d'un prestataire en l'occurrence mais d'un fournisseur.

Je ne crois pas que Eptica a développé une solution pour le compte de Darty, j'ai plutôt l'impression que Darty a acheté une solution existante à Eptica. Ca change tout !

C'est comme si vous vouliez rendre Microsoft responsable juridiquement de failles ou de bugs dans Windows, bon courage !
Avatar de Sodium Sodium - Membre éprouvé https://www.developpez.com
le 10/01/2018 à 13:04
J'ai eu l'occasion de bosser sur un site Darty en tant que stagiaire dans une boite web.
Je confirme que si j'avais eu accès à des données sensibles, j'aurais très bien faire ce genre d'erreur et que ce n'est certainement pas Darty qui s'en serait rendu compte car ça les emmerdait de s'occuper du site Internet
Avatar de MiaowZedong MiaowZedong - Membre extrêmement actif https://www.developpez.com
le 10/01/2018 à 14:39
Le truc, c'est que €100 000 ce n'est rien pour une grosse boite. Ça peut couler une PME, certes, mais ce n'est rien pour une grosse. Si la CNIL pouvait prononcer des amendes en pourcentage du CA, je suis sûr que Darty aurait été plus empressé à corriger la faute.
Avatar de AoCannaille AoCannaille - Membre chevronné https://www.developpez.com
le 10/01/2018 à 15:59
Citation Envoyé par MiaowZedong Voir le message
Le truc, c'est que €100 000 ce n'est rien pour une grosse boite. Ça peut couler une PME, certes, mais ce n'est rien pour une grosse. Si la CNIL pouvait prononcer des amendes en pourcentage du CA, je suis sûr que Darty aurait été plus empressé à corriger la faute.
C'est illégal car grandement inégal de comdanner en fonction du CA ou de la fortune d'une personne pour étendre le concept : On ne juge pas qui tu es, mais ce que tu as fait.
Il faut garantir la règle constitutionnelle d'être égaux face à la loi.

Par contre, et c'est ce qui a fait bouger microsoft il y a quelques années, on peut redéfinir l'infraction. Et donc par exemple ici, mettre une amende par fiche accessible (912 938 dans le texte). Ce qui peut faire joliement monter l'amende finale.
Avatar de fmanisse fmanisse - Membre habitué https://www.developpez.com
le 10/01/2018 à 16:29
Honnêtement, c'est bien fait et ça aurait dû être plus lourd parce qu'ils n'en sont pas à leur coup d'essai en la matière ...

Petit témoignage :

En septembre 2015, en me connectant sur mon compte DARTY, je vois des dizaines de factures d'appareils qui ne sont pas achetés par moi. Sur ces factures, les noms, les adresses, parfois plus ...
Je notifie Darty immédiatement, je n'ai pas de réponse. Même pas un "on s'en occupe...".

le mois suivant je dépose plainte à la cnil, et j'aurais finalement un échange avec darty début 2016
Le problème sera finalement réglé fin janvier 2016.

Donc pendant 5 mois, dont de nombreux mois sans aucun signe de vie, j'aurai eu accès aux données personnelles de tiers (et je suppose que des inconnus auront eu accès aux miennes du coup).

Le problème venait du fait que l'adresse de livraison était un magasin darty et non pas l'adresse de la personne, et j'avais donc accès aux factures des gens partageant cette adresse de livraison.

5 mois ...
Contacter le responsable de la rubrique Accueil