Une sécurité défaillante sur:

• serveur protégé par des mots de passe de seulement quatre caractères sans mécanisme de blocage après plusieurs tentatives infructueuses
• accès via des comptes partagées, sans mécanisme de journalisation
• aucun cloisonnement ni mécanisme de gestion des habilitations ne limitait les accès
• aucun suivi des accès
• protocole d’authentification obsolète, NTLMv2, et à un algorithme de chiffrement déprécié, RC4

Au delà de la suppression prévue au bout de 90 jours, le sous-traitant conservait les données pour d'autres finalités, notamment un CRM global. Boulanger est donc pris en défaillance sur l'insuffisance du contrôle exercé sur son sous-traitant, reposant uniquement sur les contrats et options souscrites.

Enfin, Boulanger a eu un manquement sur les infromations délivrées aux personnes concernées.