Bouygues Telecom a été sanctionné par la CNIL. L'opérateur est accusé de ne pas avoir suffisamment protégé les données des clients de la marque B&You.

La Commission nationale de l'informatique et des libertés (CNIL) a annoncé, le jeudi 27 décembre, avoir infligé à Bouygues Telecom, , une amende de 250 000 euros.

ð La CNIL indique que l'opérateur a manqué à son obligation de sécurisation des données personnelles des utilisateurs de la marque B&You.

En mars 2018, la CNIL avait été alertée de l'existence d'un incident de sécurité qui avait pour conséquence de rendre librement accessibles les données personnelles de clients B&You, la marque « low-cost » de Bouygues Telecom.

Un contrôle de la Commission avait permis de confirmer une réelle vulnérabilité permettant d'accéder à des informations sensibles comme des contrats et factures de clients B&You, par la simple modification d'une URL sur le site web de l'opérateur Bouygues Telecom.

La faille a touché plus de 2 millions de clients B&You, sur une période de plus de deux ans.

Toutefois, après s'en être rendu compte, Bouygues a « rapidement corrigé la vulnérabilité et les données personnelles des clients n'étaient plus librement accessibles»

La Commission a donné quelques informations complémentaires sur la faille, qui résultait d'un oubli de réactiver sur le site, après une phase de test, la fonction d'authentification à l'espace client, qui avait été préalablement désactivée pour mener à bien ces tests.

La CNIL a rappelé que Bouygues Telecom aurait dû être bien plus vigilant sur son mécanisme d'authentification.

Bouygues a écopé d’une amende somme toute très raisonnable de 250 000euros, le règlement européen sur la protection des données personnelles (RGPD) n'étant entré en vigueur qu'après les faits.