[Actu Juridique Immo] Les nouveautés du mois de juillet 2019

Newsletter immobilière – juillet 2019

Location

RGPD : une agence immobilière a été condamnée par la CNIL à 400 000€ d'amende, pour défaut de sécurisation de données sur leur site internet.

La société en question est spécialisée dans la promotion immobilière, l’achat, la vente, la location et la gestion immobilière.

Pour les besoins de son activité, cette société édite un site web qui permet notamment aux candidats à la location d’un bien, de télécharger en ligne les pièces justificatives nécessaires à la constitution de leur dossier.

Le 12 août 2018, la Commission nationale de l’informatique et des libertés (CNIL) a été saisie d’une plainte d’un utilisateur du site. En effet, le plaignant indiquait qu’une modification dans l’adresse URL lui avait permis d’accéder aux pièces justificatives qu’il avait lui-même téléchargées via le site, mais également et surtout aussi à celles téléchargées par d’autres candidats à la location.

Dans sa plainte, le plaignant a fourni plusieurs exemples d’adresses URL à partir desquelles il a pu accéder à des pièces téléchargées par des tiers. Il a indiqué avoir informé la société de ces faits dès le mois de mars 2018.

Une mission de contrôle en ligne puis une mission de contrôle au sein des locaux de la société ont donc été effectuées dès septembre 2018.

Lors de cette mission de contrôle, la délégation de la CNIL a pu télécharger près de 10 000 documents personnels, parmi lesquels des copies de cartes d’identité, de cartes vitale, d’avis d’imposition, d’actes de décès, d’actes de mariage, d’attestations d’affiliation à la sécurité sociale, d’attestations délivrées par la caisse d’allocations familiales, d’attestations de pension d’invalidité, de jugements de divorce, de relevés de compte, de relevés d’identité bancaire et de quittances de loyers (d’après les enquêtes menées, l’exposition au risque de téléchargement de données personnelles concernait au total près de 30 000 personnes).

Sur cette base, la CNIL a condamné la société au paiement d’une amende administrative d’un montant de 400 000€. Cette décision est rendue publique sur le site de la CNIL et sur le site de Légifrance, et sera anonymisée à l’expiration d’un délai de deux ans à compter de sa publication (soit le 28 mai 2021).

CNIL, Délib. n° SAN-2019-005, 28 mai 2019