Données clients accessibles sur le site Hippopotamus

Le site officiel des restaurants Hippopotamus était utilisé comme un vulgaire espace de stockage de données privées. Des informations clients y étaient sauvegardées.

Voilà qui démontre une fois de plus que les données privées ne doivent pas être prises à la légère. La chaîne de restauration Hippopotamus vient d’en faire les frais après la découverte de plusieurs centaines de données clients sauvegardées comme de vulgaires bouts de papiers sur une table d’un bureau.

Sauf qu’un bureau, normalement, est fermé à clé, non accessible aux passants. Sur Internet, si le bureau numérique n’est pas fermé, contrôlé, n’importe qui peut y accéder, Google en tête. La rédaction de ZATAZ a pu constater des identités, des courriers (avec adresses postales, téléphones, …) de clients mécontents ou souhaitant une correction d’une facture.Des informations de tickets de caisse, mais aussi quelques tickets de cartes bancaires de clients (heureusement sans le numéro de la CB).

Tickets, relevés de CB, courriers de clients et informations sur les cartes de fidélités.

Il a aussi été constaté des relevés bancaires envoyés par des clients. « Environ 1500 tickets sur une période allant de aout 2013 à décembre 2014. » nous a confirmé le service presse d’Hippopotamus qui a répondu très rapidement et efficacement au protocole d’alerte de zataz.com.

La faille ? Sur le site internet Hippopotamus.fr, les clients voulant émettre une réclamation ont en effet la possibilité d’attacher des pièces jointes. Ce sont ces pièces jointes qui étaient visibles dans ce répertoire « ce qui était effectivement anormal » souligne l’entreprise.

Le développement des sites internet de la société est géré directement par les agences de communication/hébergeur. « Nous avons immédiatement contacté l’hébergeur et ce répertoire n’est maintenant plus accessible. » termine l’animal gastronome. Nous avons rappelé à l’entreprise que vider le cache Google, qui avait intercepté les données, n’était pas à négliger.

Pour rappel

Tout responsable de traitement informatique de données personnelles doit adopter des mesures de sécurité physiques (sécurité des locaux), logiques (sécurité des systèmes d’information) et adaptées à la nature des données et aux risques présentés par le traitement. Le non-respect de l’obligation de sécurité est sanctionné de 5 ans d’emprisonnement et de 300 000 € d’amende (art. 226-17 du code pénal) ; Les données personnelles ont une date de péremption. Garder des fichiers plus d’un an n’est pas pensable. Pour rappel, la CNIL indique que le responsable d’un fichier fixe une durée de conservation raisonnable en fonction de l’objectif du fichier. Le code pénal sanctionne la conservation des données pour une durée supérieure à celle qui a été déclarée de 5 ans d’emprisonnement et de 300 000 € d’amende.

Pour finir, seules les personnes autorisées peuvent accéder aux données personnelles contenues dans un fichier. La divulgation d’informations commise par imprudence ou négligence est punie de 3 ans d’emprisonnement et de 100 000 € d’amende. art. 226-22 du code pénal.