Le site de la Fnac épinglé par la Cnil

La Commission nationale de l'informatique et des libertés (Cnil) a annoncé vendredi 27 juillet avoir adressé un avertissement à la société Fnac Direct, filiale de la Fnac spécialisée dans le commerce électronique, en raison de "manquements dans la conservation des données bancaires" de ses clients sur le site fnac.com.

• Qu'est-il reproché à la Fnac ?

La Cnil dit avoir constaté des "manquements" lors de contrôles menés en février dernier chez Fnac Direct. Il est notamment "apparu que cette société conservait dans une même base, en clair, le nom du titulaire de la carte bancaire utilisée pour effectuer une transaction sur son site, la date de validité de cette carte, parfois le cryptogramme visuel et, dans un format insuffisamment sécurisé, le numéro de la carte", précise la commission.

"Lors du contrôle, cette base comprenait les données relatives à plusieurs millions de cartes bancaires en cours de validité ou dont la durée de validité avait expiré, sans qu'elle n'ait fait l'objet de purge ou d'archivage", ajoute-t-elle.

La commission reconnaît que "les conditions de sécurité retenues n'ont pas porté préjudice aux clients", mais estime qu'"elles étaient insuffisantes au regard de la sensibilité des données".

• Que rappelle la Cnil ?

"Les données bancaires communiquées par des clients lors d'un achat sur internet sont des données sensibles dont la conservation par le commerçant doit répondre à un certain nombre de règles strictes", souligne la Cnil.

La conservation de ces données "ne peut se faire qu'avec le consentement préalable des clients pour une durée limitée et doit présenter un haut niveau de sécurité", ajoute-t-elle.

• Comment la Fnac réagit-elle ?

La Fnac "souhaite chaque jour améliorer la sécurité de ses systèmes afin de préserver la confidentialité des informations relatives à ses clients", a réagi la société dans un communiqué.

Le distributeur de produits culturels et technologiques "prend acte" des remarques de la Cnil, tout en se félicitant que la commission ait elle-même constaté que ses clients n'avaient subi aucun préjudice. "Aucun acte malveillant, de quelque nature qu'il soit, n'a été commis depuis l'ouverture du site", affirme la Fnac dans son communiqué.

Le groupe ajoute avoir engagé en 2010 un processus, "actuellement en cours de réalisation, de passage complet à la norme PCI-DSS, norme de sécurité la plus élevée du marché".