À l'issue d'une concertation avec des acteurs du domaine, la CNIL a adopté, le 19 septembre 2013, une recommandation relative aux services de coffres forts numériques destinés aux particuliers, rendue publique le 23 novembre. Elle propose notamment de bonnes pratiques en matière de sécurité à l'attention des fournisseurs de ce type de solutions.
Un manque de sécurité et une appellation parfois trompeuse
En analysant les solutions de coffre-fort disponibles sur le marché, la CNIL a constaté que la majorité ces services n'étaient pas suffisamment sécurisés. Il lui est apparu utile d'alerter les utilisateurs, qui peuvent être induits en erreur par l'appellation de "coffre-fort", sur les précautions à prendre avant de souscrire à une offre. Elle a également souhaité rappeler aux fournisseurs les bonnes pratiques à adopter sur les données, les destinataires, les durées de conservation, l'information des personnes, les mesures de sécurité.
Les principales préconisations de la recommandation sont les suivantes :
- Une appellation réservée à de véritables "coffres-forts" ;
- Un haut niveau d'exigence en matière de sécurité ;
- Un accès aux données strictement encadré ;
- Le stockage des données de santé réglementé ;
- L'utilisation du numéro de sécurité sociale à proscrire ;
- Une déclaration normale préalable auprès de la CNIL.
Source : Communiqué de la CNIL du 23 novembre 2013
La délibération s’articule en deux volets :
Des considérations qui posent notamment :
- Une définition commentée de la notion de coffre-fort ;
- Une analyse du phénomène au regard :
- De la loi Informatique, fichiers et libertés ;
- Des formalités préalables à accomplir avant toute mise en œuvre d’un tel type de service.
La recommandation elle-même qui s’attache :
- Aux données traitées ;
- Aux destinataires de ce service ;
- Aux durées de conservation ;
- À l’information des personnes ;
- Aux mesures de sécurité.
En savoir plus
Sur le site de la CNIL :
Communiqué de presse complet du 23 novembre :
www.cnil.fr/nc/linstitution/actualite/article/article/adoption-dune-recommandation-sur-les-coffr...
La Délibération n° 2013-270 du 19 septembre 2013 portant recommandation relative aux services dits de « coffre-fort numérique ou électronique » destinés aux particuliers :
www.cnil.fr/documentation/deliberations/deliberation/delib/297/
Voir notre Fiche synthétique sur les données à caractère personnel.
