Numericable : l’opérateur averti par la Cnil pour avoir transmis des informations erronées à l’Hadopi

Numericable vient d'être sanctionné par la Cnil pour avoir désigné à tort un abonné à l’Hadopi et à la justice qui l’ont ensuite mis en cause pour contrefaçon et dans plusieurs enquêtes pénales, notamment pour pédopornographie.
A l’origine de ce dysfonctionnement figure une application informatique mise en place par l’opérateur pour traiter de manière automatisée les demandes d’identification d’un abonné formulées par l’Hadopi ou des services de police ou de gendarmerie. Problème, lorsque l’application ne parvenait pas à identifier l’utilisateur du matériel, elle ne générait pas un message d’erreur mais renvoyait sur une autre adresse, composée d’une suite de zéros, qui correspondait aux équipements d’autres abonnés.
C’est ainsi, écrit la Cnil sur son site internet, qu’un abonné s’est vu attribuer à 1 531 reprises en 2013 des adresses IP non identifiées par l’application informatique. Sur la base de cette fausse information, l’Hadopi a porté plainte contre lui pour « contrefaçon ».
Numericable a également transmis par erreur en 2014 à sept reprises l’identité de cet abonné à des services de police et de gendarmerie en réponse à des réquisitions judiciaires.
L’abonné a ainsi été mis en cause « pendant près de deux ans » par différentes autorités de poursuite, notamment pour des faits de pédopornographie. Il a fait l’objet de nombreuses perquisitions à son domicile et de plusieurs saisies de ses équipements informatiques, constate l’instance qui souligne le « préjudice important » subi. « Au vu des éléments du dossier, la formation restreinte de la Cnil a décidé de prononcer un avertissement public à l’encontre de la société Numericable » pour avoir « manqué à son obligation de veiller à l’exactitude des données à caractère personnel de ses abonnés », écrit la commission dans sa délibération.
Dans sa réponse, l’opérateur a reconnu le dysfonctionnement mais contesté avoir manqué à la loi, estimant avoir « une obligation de moyen et non de résultat ». Il souligne avoir « corrigé le dysfonctionnement dès qu’il a été porté à sa connaissance ». C’est une enquête préliminaire du parquet qui avait révélé l’erreur d’identification. L’Hadopi avait alors porté plainte contre Numericable auprès de la Cnil.

Pas de sanction pécuniaire pour l’instant

En l'état, la loi informatique et liberté n’autorise de sanction pécuniaire qu’en cas de non-conformité d’une société à une mise en demeure, ce qui n’est pas le cas dans cette affaire. Mais le projet de loi « pour une République numérique », actuellement examiné au Sénat après un vote positif à l’Assemblée, prévoit de modifier la loi sur ce point. Si le texte est adopté, la Cnil pourra demain sanctionner un organisme à hauteur de 2 à 4 % de son chiffre d’affaires, un pourcentage aligné sur le texte réglementaire européen sur la protection des données personnelles.