Ca (nous) semble évident comme vérification, néanmoins est-ce bien logique de faire reposer la responsabilité sur le Société qui sollicite un tiers professionnel de l’informatique ?



J’admets sans mal que Darty (tout comme Amazon, la Fnac etc…) ont les moyens d’avoir en interne des pros en sécurité informatique ou de solliciter les services d’une boite pro en ce domaine pour faire des audits de sécurité.



Mais appliquer ce raisonnement à tous les professionnels (dont PME TPE) ça me semble totalement à coté de la plaque (surtout sans sanctionner le “sous-traitant” qui pourtant devrait relever et garantir Darty).



Je doute que les ³⁄₄ des pros qui se mettent sur le net (et qui y sont très largement incités), soient en mesure d’apprécier “les  règles de filtrage des URL” vérification qui “fait partie des tests élémentaires qui doivent être réalisés par une société en matière de sécurité des systèmes informatiques.” (formule un peu abscons au passage et peu pédagogique), ou encore s’agissant d’une solution clef en main d’apprécier “des caractéristiques de ce produit” moins encore “d’identifier le risque résultant de l’existence d’un accès aux données des clients contenues dans l’outil de gestion des demandes de service après-vente et d’empêcher celui-ci.”

Jnetjur a écrit :



Attention, la sanction de la CNIL est une amende administrative et non pénale. Il ne s’agit pas d’une sanction pénale. 





D’accord pour la précision de la qualification, mais le régime de ces amendes relève de la Jurisprudence du Conseil constitutionnel s’agissant des amendes prononcées par les AAI (à l’époque l’AMF) et donc entre dans “la matière pénale” (matière pénale =! droit pénal).

Tiens pour te forger ton opinion:

. de mémoire la première fois où il est question de matière pénale pour le Conseil Constit et donc de la nature des sanctions rendues par les AAI:

https://actu.dalloz-etudiant.fr/fileadmin/actualites/pdfs/AVRIL_²⁰¹⁵⁄₈₉-260_DC.pdf



 . Et une des dernières applications sur le sujet (et pas des moindres):

https://actu.dalloz-etudiant.fr/a-la-une/article/cumul-des-sanctions-penales-et-administratives-en-cas-dabus-de-marcheou-pas/h/2a7531e13f8aa395d65a16bb7352ae49.html

Jnetjur a écrit :



Il s’agit du non cumul des peines pénales et des amendes administratives. Ca ne veut pas dire que l’amende administrative relève de la matière pénale. 

 Les règles de droit pénal ne s'appliquent pas en l'espèce. Mais en effet, ça empêche les poursuites devant le juge pénal pour les mêmes faits et la même infraction/manquement. On ne peut pas dire qu'il y a eu condamnation pénale pour autant.        

J'avais pas compris que le =! consistait en : c'est différent.      

Il s'agit uniquement de terminologie. 

Les amendes prononcées par les AAI relèvent de la matière pénale : concept mal défini mais qui permet d'aller chercher les principes de bases de cette matière (évidemment applicable au droit pénal) ; organes de poursuites différents de celui qui juge, principe de non auto-accusation, principe d'égalité des armes, procédure d'instruction encadrée avec accès au dossier, droit de la défense etc...     

Le Conseil Constit l’avait dégagé à propos de l’AMF afin de savoir comment articuler le quantum des peines entre le quatum d’amende prononcée par l’AMF et le quatum prévu par le Code pénal pour la même infraction (premier lien). Pour arbitrer il a indique que si cela ne relevait pas du Code pénal, cela se rattachait à la “matière pénale”.



C’était l’objet de ma précision, puisque par facilité j’avais parlé du raisonnement appliqué s’agissant des contraventions pour les amendes (qui donc pour l’essentiel ne nécessite pas d’intentionnalité, avec le bémol des infractions de presse par exemple).



Suite à ton intervention j’ai donc rectifié, en ne parlant pas de droit pénal mais de matière pénale, ce que sont les amendes prononcées par les AAI, ceci indifféremment de l’ordre judiciaire ou administratif (ce dernier naturellement accueillant les recours contre les décisions des AAI et plus précisément le Conseil d’Etat). 

kwak-kwak a écrit :



…



Il appartiendra ici à Darty de se retourner contre son prestataire pour demander des indemnités, prestataire qui se retournera contre ses propres prestataires si besoin est.





Pas si simple; on est pas en matière de responsabilité civile où au final succombe celui qui a commis la faute d’origine en relevant et garantissant tous les autres “responsables” (par exemple un vendeur qui sera condamné à indemniser l’acheteur consommateur, mais sera en réalité relevé et garanti par le constructeur parce que le produit est d’origine affecté d’un défaut).



La sanction de la CNIL s’apparente aux amendes: celui qui est condamné par exemple pour une contravention pour des pneus mal gonflés peut pas demander au Garage qui vient de lui faire la révision de régler la douloureuse.



Il va donc falloir, à défaut d’accord, que darty démontre que le sous-traitant à manqué à ses obligations contractuelles (et/ou est responsable d’une faute dans cette relation contractuelle) pour ensuite solliciter une indemnité.

wagaf a écrit :



Au contraire ça oblige le passeur de commande à prendre ses responsabilités vis-à-vis de ses clients, même si “ce n’est pas leur métier” : ce n’est jamais le cas ! et un commerçant s’en fiche complètement de la sécurité de ces données, surtout si ça coute moins cher.

  D'ailleurs la réponse du prestataire "trop compliqué à régler" donne une bonne idée de leur niveau technique.

  Le passeur de commande, lorsqu'il s'agit de Darty & Co il a les moyens de doubler sa demande de logiciel d'un audit auprès de pros de la sécurité.       

 Mais la CNIL ne fait aucune différence entre Darty (Fnac etc...) et une TPE de base qui n'est pas du secteur de l'informatique mais entend offrir des prestas via le net en utilisant un soft acheté auprès d'un pro du secteur informatique (et parfois la formation qui va avec).       

 La TPE-PME après s'être saignée pour acheter l'outil, elle n'aura pas un centime pour le faire auditer avant sa mise en œuvre, et n'aura pas les compétences pour faire des vérifications de bases en interne pour la majorité d'entre elles. En outre, elle peut légitiment se dire que s'adressant à un pro de l'informatique c'est de sa responsabilité comme dans tout autre domaine.

linkin623 a écrit :



Ah le monde capitaliste, c’est pas facile.



D’abord il n’est pas possible de faire des lois “pour les TPE” car le Conseil Constit a déjà dit que cela rompt l’égalité devant la loi.



Si une TPE décide de fournir des services en lignes, cela a un coût, y compris la sécurité. Si on joue le jeu du capitalisme, on n’a pas à pleurer quand les règles ne sont pas correctes.



Si on est pas d’accord, on milite pour changer de système. Pas pour changer les règles en fonction de la tête du clients /humour.





Aucun rapport. Il suffit d’appliquer la Loi, enfin ici la Jurisprudence.



Si tu es un pro qui n’est pas dans le secteur de l’informatique et que tu fais appel à un pro dudit secteur, ce dernier doit répondre de ses conneries à ton égard.



En plus le raisonnement qui consiste à dire si je casque super cher ca sera nécessairement sécurisé est franchement pas constaté dans la réalité. Le problème est la compétence du pro dans le secteur considéré, une brêle hors de prix restera une brêle.

Et je précise ma pensée: lorsque j’indique qu’il pourrait exister une distinction entre Darty-Fnac etc… et la PME de base, c’est sur un critère objectif: le fait ou non qu’une compétence en informatique existe au sein même de la boite (à minima parce qu’elle propose des prestas au consommateur dans ce domaine, ou tout simplement parce que je n’imagine pas qu’une boite de ce genre n’a pas un service informatique interne capable de vérifier qu’une simple URL permet d’accéder aux données clients sans identification).



Y a donc aucun rapport dans mon propos avec le “grand capital”.

CryoGen a écrit :



Oui c’est vrai mais la CNIL averti d’abord. Donc la TPE n’a plus qu’a rompre son contrat avec le presta défaillant.

Ici DARTY a préféré conserver son presta…



Alors oui, perdre un outil peut couter du pognon, mais ca arrive dans d’autres domaines : un produit fournisseur testé toxique à retirer de la composition d’un produit (voir faire un rappel de produits déjà vendu) par exemple : tu vas aussi dire “ouais mais là c’est une TPE donc on va laisser faire. ” ?





Mais mon propos n’est pas de dire que cela n’a pas de coût et il est parfaitement exact de dire qu’il faut y mettre le prix nécessaire.



Mon regret s’agissant de la décision de la CNIL est que si on s’en tient à sa motivation, elle ne fait pas de distinction entre le pro a qui on peut exiger un certain de degré de compétence interne comme Darty, et l’artisan plombier qui va acheter une soft de prise de rendez-vous en ligne et sera incapable de vérifier si le soft est bien sécurisé.

bidou.bidou a écrit :



Il n’empêche que pour les touts petits c’est un problème quasi insurmontable. Expérience en cours: organisation d’un congrès par une association (but non lucratif, les recettes servant à payer les dépenses). L’office du tourisme local propose “gentiment” de s’occuper de tout, ce qui comprend le paiement des frais d’inscription. Du coup prestation annexe: création du site web où l’on peut choisir quelques options et payer en ligne, franchement rien de compliqué.

  Naturellement l’office du tourisme a sous-traité le développement web à son prestataire d’une incompétence abyssale. Système de mail avec copie sur une url à compteur façon Darty, mots de passe stockés en clair (je laisse deviner ce qui se passe quand on ajoute la faille n°1 à l’envoi du mot de passe oublié par mail). Le prestataire ne s’est pas demandé ce qui se passait quand sur la réservation d’un hôtel on partait avant d’arriver… J’en passe et des meilleures.

  Ben pour le prestataire, c’est normal, éventuellement, en repassant à la caisse, on pourra regarder ce qui est faisable.  L’assoc organisatrice du congrès fait quoi ? Elle se lance dans 5 ans de procès contre l’office du tourisme en espérant que le juge partage notre opinion comme quoi faute de clause spécifique le fait que le site web devait respecter la législation en matière de protection des données personnelles était implicite ?

  Ou elle organise quand même le congrès en hurlant pour que les failles les plus visibles soient cachées un peu sous le tapis au risque de se faire condamner si quelqu’un regarde d’un peu trop près ?





C’est hélas pas une exception. Bien que souvent hostile à une telle idée, il serait peut-être temps que les boites de prestations pour le net se structurent un minimum et fassent le ménage dans leurs rangs, peut-être via un label de qualité comme on peut le voir dans le bâtiment par exemple.



Ca ne manquerait pas de sel là où il est plutôt habituel dans ce milieu de réclamer l’absence de toutes régulations, mais on est combien autour de nous à connaître des gens qui sont plantés par le prestataire informatique (qu’il s’agisse de logiciels métiers ou de sites-prestations en ligne ) ?