La CNIL a condamné Discord à 800 000 euros d’amende

Le gendarme des libertés a récemment condamné la société Discord Inc. à une amende de 800 000 euros. Il lui était reproché plusieurs manquements aux obligations du RGPD.

La messagerie instantanée Discord dans laquelle il est possible de créer des serveurs et des salons, mais aussi d’échanger à l’écrit ou via la voix et la vidéo, a été épinglée par la Commission nationale informatique et libertés (CNIL) il y a quelques jours.

Plusieurs manquements au RGPD

Suite à des constatations effectuées lors de contrôles, le gendarme des libertés a considéré que la société éditrice du logiciel avait manqué à plusieurs obligations prévues par le RGPD. Ainsi, Discord n’a pas défini de durée de conservation des données comme il se doit.

La CNIL s’est aperçue qu’il y avait 2,47 millions de comptes d’utilisateurs français qui n’avaient pas été utilisés depuis plus de trois ans, tandis qu’il y avait 58 000 comptes qui n’étaient plus utilisés depuis plus de cinq ans. Discord s’est mis rapidement en conformité avec le règlement en indiquant désormais que les comptes seront supprimés après deux ans d’inactivité de l’utilisateur.

De plus, la Commission a mis en évidence un manquement à l’obligation d’information en n’indiquant pas les différentes durées de conservation. Là aussi, Discord s’est mise en conformité avec le règlement durant la procédure.

Autre fait qui était reproché à Discord, l’appui sur la croix ne ferme pas le logiciel mais le réduit seulement. Un comportement qui n’est pas propre à la messagerie et qui existe pour d’autres logiciels mais qui peut prêter à confusion, notamment en laissant penser qu’en fermant le logiciel, on quittait la conversation alors que ce n’est pas le cas en réalité.

Des sécurités un peu trop faibles

Les utilisateurs pouvaient ainsi penser que le logiciel était complétement coupé alors qu’on pouvait toujours les entendre derrière. Suite aux remarques de la CNIL, Discord a mis en place une fenêtre pop-up qui s’ouvre lorsque l’on clique sur la croix et qui indique que le logiciel tourne toujours en fond.

La CNIL a également reproché à Discord d’accepter des mots de passe trop faibles. Elle a jugé que six caractères n’étaient pas suffisant pour bien protéger les utilisateurs. Désormais, lors de la création d’un compte, le logiciel demandera un mot de passe à 8 caractères minimum avec trois catégories distinctes (casse, chiffres et caractères spéciaux).

Enfin, Discord a dû réaliser des études d’impact concernant le traitement des données. Ils ont conclu que le traitement des données par la société « n’est pas susceptible d’engendrer un risque élevé pour les droits et libertés des personnes ».

Des efforts réalisés durant la procédure

Etant donné les fautes commises par Discord, du nombre de personnes concernées mais aussi des efforts réalisés par la société pour se mettre en conformité durant la procédure, la CNIL a infligé une amende de 800 000 euros à Discord Inc.