La CNIL fait application de son pouvoir lui permettant de surveiller l'utilisation des données personnelles. Optical Center doit s'acquitter de la somme de 50 000 euros pour avoir failli à l'obligation de protection des informations utilisateurs.
Pour Optical Center, 5ème enseigne d'optique en France, tout commence le 8 juillet 2014 alors qu'une plaignante saisit la CNIL. Son mot de passe avait été prononcé au téléphone par la société, ce qui laissait supposer que ces données clients étaient stockées en clair dans la base de données de l'entreprise.
Une première mission de contrôle est alors déclenchée auprès de la société. Des entorses à la loi sont immédiatement constatées : manquement à l'obligation de définir et mettre en œuvre une durée de conservation des données, manquement à l'obligation d'assurer la sécurité et la confidentialité des données... les constats s'accumulent.
Puis vient la question du sous-traitant spécialiste du traitement et de la protection de données, sous contrat avec Optical Center. Loin d'être inquiété, un contrôle effectué le 22 juillet 2014 met au contraire une nouvelle fois en cause la société d'optique : « Le contrat conclu entre la société et son sous-traitant ne comportait aucune clause relative à la sécurité et à la confidentialité des données », estime la CNIL dans sa délibération (.pdf).
Pour sa défense, Optical Center met en avant un article du fameux contrat, dédié à la sécurité et la confidentialité des données. Mais la CNIL rétorque que cet article a uniquement trait aux conditions de sécurité des données la concernant, et ne comporte aucune indication des obligations incombant au prestataire en matière de protection des données des clients de la société...
La CNIL dans son rôle
Créée par la loi n°78-17 du 6 janvier 1978 dite « informatique et libertés », la CNIL (Commission Nationale de l'Informatique et des Libertés) a pour mission principale de protéger les données personnelles. En France, elle est souvent prise pour arbitre entre particuliers et entreprises ayant recours au traitement des données personnelles. Un rôle d'autant plus important que cette pratique semble s'imposer en entreprise avec un engouement sans précédent à des fins marketing et commerciales.Dans un tel contexte, un « garde-fou » comme la CNIL semble plus que nécessaire, même si la juridiction de ce secteur n'est pas la même sur tous les sols. Un problème d'harmonisation en Europe se pose donc, notamment pour le cas des multinationales, amenées à travailler dans plusieurs pays à la fois.
A lire également
