Données personnelles piratées : amende de 400 000 euros contre Uber

La Commission nationale de l’informatique et des libertés (Cnil) a infligé une amende record de 400 000 euros à Uber pour avoir « insuffisamment sécurisé les données des utilisateurs » de son service, a-t-elle annoncé jeudi dans un communiqué.

C’est la première fois que la Cnil impose une amende aussi forte, dépassant de loin le montant infligé à Optical Center en juin (250 000 euros), a-t-on appris auprès de l’autorité. En novembre 2017, Uber avait révélé que les données de 57 millions de ses utilisateurs, clients ou chauffeurs, avaient été piratées. La Cnil a estimé que l’attaque aurait pu être évitée « si certaines mesures élémentaires en matière de sécurité avaient été mises en place ».

Après une enquête coordonnée au niveau européen, la Cnil a estimé que la société « avait manqué à son obligation de sécurité des données personnelles ». Uber avait en réalité été informé de ce piratage dès novembre 2016, par les pirates eux-mêmes. La firme leur avait alors donné 100 000 dollars pour qu’ils ne le révèlent pas et effacent les données dérobées.

Leçons « tirées »

« Nous avons, suite à l’incident, tout comme dans les années qui ont suivi, apporté plusieurs améliorations techniques à la sécurité de nos systèmes. Nous avons également apporté d’importants changements dans notre management afin d’assurer la transparence aux autorités régulatrices et aux clients », a assuré jeudi une porte-parole d’Uber. La société, qui se dit « heureuse de clore ce chapitre sur l’incident de données de 2016 », affirme en outre avoir tiré « les leçons » de ses « erreurs » et avoir renforcé ses équipes avec le recrutement « d’experts de premier plan » dans le domaine de la sécurité.

Cible de diverses procédures après ce piratage, Uber avait conclu en septembre dernier un accord à l’amiable de 148 millions de dollars avec les autorités américaines. Le pouvoir de sanction de la Cnil avait été renforcé par la loi de 2016 pour la protection des données personnelles, le plafond des amendes jusque-là fixé à 150 000 euros passant à 3 millions d’euros. Le nouveau règlement européen sur la protection des données (RGPD) entré en vigueur le 25 mai donne un pouvoir de sanction encore accru, puisque celles-ci pourront atteindre jusqu’à 20 millions d’euros et 4% du chiffre d’affaires.

LQ/AFP