Suite et fin de la fuite de données ayant touché Uber en 2016. Depuis novembre 2017, les CNIL européennes enquêtaient, ce mois-ci, elles délibèrent. En France, la firme devra payer 400 000 euros.

Un million quatre cent mille Français furent touchés par la fuite de données subie par l’entreprise Uber. Lors de cette attaque qui avait mis en péril la sécurité des données de ses clients, l’entreprise avait d’abord caché aux pouvoirs publics la fuite, avant d’être rattrapée par la presse en novembre 2017. La dissimulation de l’attaque, puis la négociation avec les criminels pour étouffer l’affaire, avaient conduit de nombreux états à engager des procédures légales contre Uber. En outre, les enquêteurs mirent en lumière des lacunes sérieuses dans la sécurité offerte par Uber à ses utilisateurs.

À la fin novembre 2017, le G29, regroupement des CNIL européennes, lançait à la suite de la justice américaine un groupe de travail commun pour traiter à l’échelle du continent le dossier Uber. Ce dernier, qui a réuni des experts français, néerlandais, espagnols, belges, britanniques et slovaques, a adressé à Uber un questionnaire précis sur les conditions de l’attaque. Cette enquête a confirmé les circonstances mises en lumière par les médias : le stockage en clair et en ligne du mot de passe conduisant à la base de données d’Uber.

L’obligation d’assurer la sécurité et la confidentialité des données

En France, la CNIL s’était engagée à défendre les utilisateurs français. Elle retient aujourd’hui contre Uber France une sanction importante : 400 000 euros. Une amende qui suit celle infligée par le Royaume-Uni (430 000 euros), et les autorités allemandes (600 000 euros).

La CNIL indique dans sa délibération du 19 décembre dernier qu’elle sanctionne la filiale française de la startup franciscanaise selon les services et liens entre cette dernière et le responsable effectif du traitement des données, la maison mère américaine. D’autres pays européens ont engagé eux aussi des procédures contre les filiales nationales d’Uber plutôt que de poursuivre via la justice américaine la firme.

« un incident isolé attribuable à une erreur humaine »

En fin de compte, la CNIL a concentré son accusation sur le manquement à l’obligation d’assurer la sécurité et la confidentialité des données. Uber a reconnu que les informations nécessaires pour s’introduire sur sa base de données ont été laissées en clair dans du code source en ligne — « un incident isolé attribuable à une erreur humaine » selon la firme.

L’application Uber. Flickr/CC/Mark Warner

Néanmoins, pour réduire son amende, la société a mis en avant avec un zèle certain son attitude au moment des faits : « [la société considère que] elle a réagi promptement en prenant les mesures nécessaires afin de limiter l’impact de la violation, qu’elle a communiqué l’existence de la violation au public, que la violation n’a causé aucun préjudice  » peut-on lire dans la délibération.

Des arguments qui n’ont pas convaincu — et qui aurait pu être questionnés puisque l’entreprise a attendu 12 mois avant de révéler l’incident au public, sous la contrainte d’un article du Bloomberg — et qui ont laissé la formation restreinte de la CNIL décider d’une amende considérable contre la filiale.

CC European Parliament

Aux États-Unis, la justice a exigé plus de 140 millions de dollars à la firme à travers tous les procès intentés par les différents états américains. Outre-Atlantique, les délits retenus furent souvent la dissimulation de la fuite et l’entente avec les criminels comme en Californie où le procureur Xavier Beccera a dénoncé la « flagrante violation de la confiance du public  » d’Uber. Retenons que si l’appareil judiciaire américain s’est montré plus dur avec cette dissimulation, le RGPD, règlement européen de la protection des données, adopté après l’affaire Uber, permettrait aujourd’hui les mêmes poursuites en Europe et une amende encore plus importante.

Crédit photo de la une : Wikimedia

À propos de Bitdefender

Bitdefender est un éditeur européen de solutions de cybersécurité, dont les technologies protègent aujourd’hui plus de 500 millions d’utilisateurs dans le monde. Il est l'annonceur exclusif de Cyberguerre. Ses technologies de machine learning et d’intelligence artificielle permettent d’anticiper et de bloquer un plus grand nombre de menaces, afin de protéger instantanément tous ses utilisateurs. Grâce à ses investissements en R&D, sa capacité à innover en permanence pour garder une longueur d’avance sur les menaces, et de nombreux partenariats technologiques, Bitdefender a réhaussé les standards de sécurité les plus élevés de l’industrie.

Plus d’informations sur www.bitdefender.fr

Partager sur les réseaux sociaux