Dernières actualités : données personnelles

Datatilsynet (autorité norvégienne)

Amende de 12 500 euros pour une université norvégienne qui n’a pas bien sécurisé ses données

Ce jour, l’autorité norvégienne de protection des données a annonce avoir infligé une amende de 150 000 NOK [environ 12500 euros] à l’université d’Agder (UiA) pour avoir enfreint le règlement général sur la protection des données. En particulier, il lui est reproché de ne pas avoir mis en œuvre les mesures appropriées pour garantir la sécurité des données à caractère personnel dans le cadre de son utilisation de Microsoft Teams.

En février 2024, un employé de l’UiA a découvert que des documents contenant des données personnelles avaient été stockés dans des dossiers Teams ouverts, auxquels des employés sans besoin professionnel avaient accès. L’infraction était en cours depuis que l’université avait commencé à utiliser Microsoft Teams en août 2018. Les données personnelles étaient accessibles dans le système, et les employés pouvaient y accéder via des recherches dans des dossiers ouverts. L’infraction concerne des documents contenant des données personnelles sur des employés, des étudiants et des acteurs externes. Environ 16 000 personnes enregistrées sont concernées.

Les données comprennent notamment des noms, des numéros de naissance, des informations sur les examens aménagés, le nombre de tentatives d’examen et des dispositions particulières. De plus, l’infraction incluait une liste des réfugiés d’Ukraine liés à l’université, avec des informations telles que les coordonnées, la formation et le statut de résidence.

Disponible (en norvégien) sur: datatilsynet.no
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

Décision provisoire d’infliger une amende de 6 millions de livres sterling à un fournisseur de logiciels à la suite d’une attaque par ransomware en 2022 qui a perturbé les services du NHS et des soins sociaux

Nous avons provisoirement décidé d’infliger une amende de 6,09 millions de livres sterling à Advanced Computer Software Group Ltd (Advanced), après avoir constaté que le fournisseur n’avait pas pris les mesures nécessaires pour protéger les informations personnelles de 82 946 personnes, y compris certaines informations personnelles sensibles.

Advanced fournit des services informatiques et des logiciels à des organisations d’envergure nationale, dont le NHS et d’autres prestataires de soins de santé, et traite les informations personnelles des personnes pour le compte de ces organisations en tant que responsable du traitement des données. La décision provisoire d’infliger une amende est liée à un incident de ransomware survenu en août 2022, au cours duquel nous avons provisoirement constaté que des pirates informatiques avaient accédé à un certain nombre de systèmes de santé et de soins d’Advanced via un compte client qui ne disposait pas d’une authentification multifactorielle.

En particulier, nous avons provisoirement constaté que des informations personnelles appartenant à 82 946 personnes ont été exfiltrées à la suite de l’attaque. La cyberattaque a fait l’objet d’une large couverture médiatique au moment de l’incident, avec des rapports faisant état de l’interruption de services essentiels tels que le NHS 111, et d’autres personnels de santé incapables d’accéder aux dossiers des patients. Les données exfiltrées comprenaient des numéros de téléphone et des dossiers médicaux, ainsi que des informations sur la manière d’entrer au domicile de 890 personnes recevant des soins à domicile.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

L’ICO réprimande la Commission électorale après la compromission de ses serveurs à l’occasion d’une cyberattaque

L’ICO a annoncé ce 30 juillet 2024 avoir adressé un blâme à la Commission électorale après que des pirates ont accédé à des serveurs contenant les informations personnelles d’environ 40 millions de personnes.

En août 2021, des pirates ont réussi à accéder au serveur Microsoft Exchange de la Commission électorale en usurpant l’identité d’un compte utilisateur et en exploitant des vulnérabilités logicielles connues dans le système qui n’avait pas été sécurisé. Jusqu’en octobre 2022, soit plus d’un an plus tard, les pirates ont eu accès aux informations personnelles contenues dans le registre électoral, notamment les noms et les adresses. Les serveurs ont été accédés à plusieurs reprises à l’insu de la Commission électorale.

L’enquête a révélé que la Commission électorale n’avait pas mis en place les mesures de sécurité appropriées pour protéger les informations personnelles qu’elle détenait. En particulier, elle n’a pas veillé à ce que ses serveurs bénéficient des dernières mises à jour de sécurité. Les correctifs de sécurité pour les vulnérabilités exploitées lors de la cyberattaque ont été publiés en avril et mai 2021, plusieurs mois avant l’attaque. La Commission électorale n’avait pas non plus mis en place de politiques suffisantes en matière de mots de passe au moment de l’attaque, de nombreux comptes utilisant encore des mots de passe identiques ou similaires à ceux attribués à l’origine par le service desk.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

AEPD (autorité espagnole)

Allianz condamné à une amende de 200 000 euros par l’autorité espagnole

Le 13 juin 2024, l’autorité espagnole a publié une sanction à l’encontre du groupe d’assurances Allianz en raison de mesures techniques et organisationnelles non appropriées pour garantir un niveau de sécurité adapté au risque présenté par le traitement. Cette affaire, sur fond de divorce et de bataille judiciaire pour la pension alimentaire des enfants, commence avec la production par madame de documents relatifs à une police d’assurance souscrite par monsieur pour son véhicule, notamment un « extrait des systèmes de la compagnie d’assurance Allianz auxquels elle a eu un accès non autorisé » . Cet accès avait été permis par une connaissance amicale de madame qui était  employé du Centre de traitement des réclamations (CTS) de la société Allianz et « qui, en violation des politiques de protection des données de la société et du code de conduite applicable à tous les employés de la société, qui comprend le devoir de confidentialité de tous les employés par rapport aux données personnelles et le devoir de confidentialité de tous les employés par rapport aux données personnelles de l’employé de la société« .

Cette communication non autorisée, réalisée par l’employée de manière intentionnelle et en connaissance de son illégalité, constitue une violation de la confidentialité des données à caractère personnel que l’entreprise a dû notifier le 14 septembre dans les soixante-douze (72) heures après en avoir pris connaissance, comme le prévoit la réglementation en vigueur. Néanmoins, cela n’a pas été suffisant, et le code de conduite de l’entreprise ou encore les formations dispensées aux salariés non plus : au cours de l’enquête, Allianz a reconnu qu’il n’y a pas de traçabilité des accès. L’AEPD a ainsi a déduit de ce manque de traçabilité – dont l’objet est précisément de contrôler la possibilité d’un accès abusif -, qu’il y avait un manque de mesures de sécurité et une infraction aux articles 5,1,f et 32 du RGPD. Allianz a ainsi été condamné à une amende de 200 000 euros mais n’en a finalement payé « que » 160 000 : la société a reconnu sa responsabilité et a ainsi pu bénéficier d’une réduction. Si elle réalise un paiement volontaire, l’amende sera même réduite à 120 000 euros, une réduction supplémentaire s’appliquant.

Disponible (en espagnol) sur: aepd.es
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

AEPD (autorité espagnole)

Geopost condamnée à une amende de 55 000€ pour avoir laissé un avis de passage à la vue de tous

Le 6 juin 2024, la société Geopost (filiale du groupe La Poste) a été condamnée à une amende totale de 55 000 euros, sur le fondement des articles 5 et 32 du RGPD, pour ne pas avoir suffisamment assuré la confidentialité et la sécurité des données à caractère personnel d’une personne concernée. Cette affaire commence de manière très banale : un particulier a commandé un colis sur Amazon et, n’étant pas chez lui le jour de la livraison, a demandé au géant américain de changer l’adresse de la livraison afin de s’assurer de recevoir son colis.  Néanmoins, cela n’a pas été pris en compte à temps, ce particulier ayant, un peu plus tard, « appris par des membres de sa famille qui passaient par là qu’un livreur  avait laissé une étiquette sur l’extérieur de la boîte aux lettres de son domicile, visible par tout voisin ou visiteur de la propriété, indiquant ses données personnelles, à savoir ses nom et prénom, son adresse postale, ainsi que son numéro de téléphone. Cette étiquette a été affichée dans un lieu de transit jusqu’au 6 septembre 2022, date à laquelle elle a été retirée.  » Peu de temps après, cette personne a décidé de déposer une plainte auprès de l’AEPD, et l’enquête a permis à l’autorité d’établir la véracité de ces déclarations, et notamment des différentes pièces et photographies jointes au dossier.

L’AEPD estime que cette circonstance, selon laquelle le défendeur est une entité qui gère un volume important de livraisons et d’enlèvements de colis de clients dont les données personnelles sont systématiquement traitées dans l’exercice de ses fonctions, détermine un degré plus élevé d’exigence et de professionnalisme et, par conséquent, de responsabilité de l’entité en ce qui concerne le traitement des données à caractère personnel. De son côté, Geopost admettait que « pour la seule année 2021, le volume traité a été de plus de 50 millions de livraisons et d’enlèvements » mais, elle considère que ces faits sont la faute professionnelle du chauffeur-livreur qui n’a pas suivi les protocoles internes, ne s’apparente pas à un fonctionnement normal. Geopost estimait ainsi avoir pris des mesures organisationnelles adéquates et suffisantes.
Ces arguments n’ont toutefois pas convaincu l’AEPD, qui a décidé de condamner la société à une amende de 55 000 euros.

Disponible (en espagnol) sur: aepd.es
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

PSNI risque une amende de 750 000 livres sterling à la suite d’une erreur de tableur qui a exposé les informations personnelles de l’ensemble de son personnel.

L’ICO a annoncé son intention d’infliger une amende de 750 000 livres sterling au Service de police d’Irlande du Nord (PSNI) pour n’avoir pas protégé les informations personnelles de l’ensemble de son personnel.
L’amende proposée est liée à un incident au cours duquel des informations personnelles – y compris le nom de famille, les initiales, le grade et le rôle de l’ensemble des 9 483 officiers et employés du PSNI – ont été incluses dans un onglet « caché » d’une feuille de calcul publiée en ligne en réponse à une demande d’accès à l’information. L’enquête menée par l’ICO a révélé que les procédures internes et les protocoles d’approbation du PSNI pour la divulgation sécurisée d’informations étaient inadéquats.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

AEPD (autorité espagnole) via GDPRHub

La banque 4Finance Spain s’acquitte d’une amende de 360 000€ pour des défauts de sécurité

Le 07 mai 2024, l’AEPD a infligé une amende de 600 000 euros à l’ établissement de crédit 4Finance Spain pour insuffisance des mesures de sécurité, notamment l’absence d’authentification à deux facteurs lors de l’approbation des prêts. Conformément à la loi 39/2015, une loi espagnole concernant les procédures administratives, l’AEPD a informé le responsable du traitement qu’il pouvait reconnaître sa responsabilité dans les violations présumées et/ou payer l’amende proposée. Chacune de ces actions réduit l’amende imposée de 20 %. Le responsable du traitement a choisi de réduire l’amende de 40 %, en reconnaissant sa responsabilité pour les violations et en payant le montant réduit de la sanction de 360 000 €.

En l’espèce, entre août et novembre 2022, le responsable du traitement a reçu plus d’une dizaine de plaintes relatives à des prêts non sollicités étant apparus sur leur compte. Le responsable du traitement a évalué les niveaux de risque et la gravité de ces violations en utilisant une méthode interne basée sur les normes de l’Agence de l’Union européenne pour la cybersécurité (ENISA) et a déterminé qu’il n’était pas nécessaire de notifier la violation à l’AEPD ou aux parties concernées.

De son côté, l’AEPD a également reçu plusieurs plaintes de personnes concernées, qui étaient des clients du responsable du traitement, alléguant des prêts non sollicités similaires sur leurs comptes. Le 14 février 2023, le responsable du traitement a finalement déclaré avoir pris connaissance d’une violation de données affectant les données à caractère personnel de ses clients et employés. La violation a affecté 9636 personnes concernées et comprenait des noms, des dates de naissance, des numéros d’identification nationaux, des numéros d’identité d’étrangers, des numéros de passeport ou de document d’identification, des données de paiement (telles que les banques et les cartes) et des informations de contact. Sur ces personnes, 139 ont été victimes de fraudes consistant à contracter des prêts au nom des personnes concernées et à les contacter via WhatsApp en se faisant passer pour le responsable du traitement et en demandant le remboursement du montant sur un numéro de compte contrôlé par les pirates.

En raison de l’insuffisance des évaluations des risques et des mesures de sécurité du responsable du traitement, ainsi que de l »insuffisance de l’évaluation des risques, l’AEPD a décidé d’engager une procédure de sanction à l’encontre du responsable du traitement et a recommandé une sanction de 600 000 euros, finalement réduite.

Disponible (en anglais) sur: gdprhub.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée

ICO (autorité anglaise)

Les services de l’enfance de Birmingham réprimandés après avoir divulgué de manière inappropriée les informations personnelles d’un enfant

L’ICO a annoncé avoir adressé un blâme à la Birmingham Children’s Trust Community Interest Company après que les informations personnelles d’un enfant ont été divulguées de manière inappropriée à une autre famille. Le service de protection et de révision des enfants de la Birmingham Children’s Trust Community Interest Company, qui appartient au conseil municipal de Birmingham, travaillait avec deux familles voisines lorsque la violation de données s’est produite. Un plan de protection de l’enfance a en effet été communiqué à l’une des familles, qui contenait à la fois des informations personnelles et des allégations criminelles concernant un enfant de la famille voisine. Ces informations ont été incluses par erreur après avoir été copiées à partir de procès-verbaux de réunions.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

AP (autorité néerlandaise)

Booking signale une violation de données à temps après l’intervention de l’autorité des Pays-Bas

L’Autorité des données personnelles (« Autoriteit Persoonsgegevens » ou AP) a mis fin à une période de contrôle intensif de Booking, après avoir conclu que la société a bien respecté les règles relatives à la notification des violations de données en 2023.  En effet, deux ans plus tôt, l’entreprise avait été condamnée à payer une amende de 475 000 euros en 2021 pour avoir notifié tardivement une violation de données. Dans cette fuite, des criminels ont saisi les données personnelles de 4 000 clients, y compris les détails des cartes de crédit de 300 victimes.

Au cours de la période qui a suivi, l’entreprise est soupçonnée ne pas avoir signalé à temps de nouvelles fuites de données. L’autorité néerlandaise a ainsi contrôlé Booking pendant un an en 2023 , afin de voir si l’entreprise respectait correctement les règles relatives à la notification des violations de données. En instaurant une surveillance plus intensive, l’AP voulait s’assurer que la société signale les fuites de données à temps, à la fois à l’AP et aux victimes. Ainsi, Booking devait rendre compte, jusqu’en 2023, des mesures prises pour signaler les violations de données à l’AP dans les délais impartis ; ainsi que des mesures prises pour prévenir les incidents futurs. En outre, le Parlement européen a vérifié si l’entreprise n’avait pas injustement omis de signaler certains incidents. Résultat: au cours de la période de contrôle intensifié, il a été constaté que l’entreprise avait effectivement signalé tous les incidents qu’elle était tenue de signaler.

Disponible (en néerlandais) sur: autoriteitpersoonsgegevens.nl
Cette courte introduction  est susceptible d’avoir été traduite de manière automatisée.

Retour en haut