Macif Vie risque une amende de 7 millions d’euros pour sa gestion des données

Le rapporteur de la Cnil a requis une sanction de 7 millions d’euros contre Macif Vie, accompagnée d’une publication nominative pendant deux ans. Présentée le 15 octobre devant la formation chargée des sanctions, l’affaire fait suite à un contrôle réalisé en mai 2024, sans cyberattaque ni fuite de données constatée.

Les investigations ont révélé plusieurs insuffisances : 1,8 million de mots de passe conservés en clair, des données personnelles et bancaires parfois stockées jusqu’à trente ans, ainsi qu’un compte administrateur partagé par huit personnes. Cette dernière pratique empêchait de retracer individuellement les accès à une base regroupant les informations de l’assureur.

Les mesures correctives engagées depuis le contrôle ont conduit le rapporteur à abandonner sa demande d’injonction de mise en conformité et à réduire l’amende initialement envisagée de 9 à 7 millions d’euros.

La défense conteste l’ampleur des risques et demande une révision de l’assiette utilisée pour calculer la sanction, ainsi que l’absence de publication nominative.

La décision définitive reste attendue. Cette procédure souligne que l’obligation de sécuriser les données peut être sanctionnée indépendamment de toute attaque. Selon les informations de L’Agefi, un contrôle serait également en cours chez Aesio, autre entité affiliée au groupe Aema.