Dernières actualités : données personnelles

AEPD (autorité espagnole) via GDPRHub

La banque 4Finance Spain s’acquitte d’une amende de 360 000€ pour des défauts de sécurité

Le 07 mai 2024, l’AEPD a infligé une amende de 600 000 euros à l’ établissement de crédit 4Finance Spain pour insuffisance des mesures de sécurité, notamment l’absence d’authentification à deux facteurs lors de l’approbation des prêts. Conformément à la loi 39/2015, une loi espagnole concernant les procédures administratives, l’AEPD a informé le responsable du traitement qu’il pouvait reconnaître sa responsabilité dans les violations présumées et/ou payer l’amende proposée. Chacune de ces actions réduit l’amende imposée de 20 %. Le responsable du traitement a choisi de réduire l’amende de 40 %, en reconnaissant sa responsabilité pour les violations et en payant le montant réduit de la sanction de 360 000 €.

En l’espèce, entre août et novembre 2022, le responsable du traitement a reçu plus d’une dizaine de plaintes relatives à des prêts non sollicités étant apparus sur leur compte. Le responsable du traitement a évalué les niveaux de risque et la gravité de ces violations en utilisant une méthode interne basée sur les normes de l’Agence de l’Union européenne pour la cybersécurité (ENISA) et a déterminé qu’il n’était pas nécessaire de notifier la violation à l’AEPD ou aux parties concernées.

De son côté, l’AEPD a également reçu plusieurs plaintes de personnes concernées, qui étaient des clients du responsable du traitement, alléguant des prêts non sollicités similaires sur leurs comptes. Le 14 février 2023, le responsable du traitement a finalement déclaré avoir pris connaissance d’une violation de données affectant les données à caractère personnel de ses clients et employés. La violation a affecté 9636 personnes concernées et comprenait des noms, des dates de naissance, des numéros d’identification nationaux, des numéros d’identité d’étrangers, des numéros de passeport ou de document d’identification, des données de paiement (telles que les banques et les cartes) et des informations de contact. Sur ces personnes, 139 ont été victimes de fraudes consistant à contracter des prêts au nom des personnes concernées et à les contacter via WhatsApp en se faisant passer pour le responsable du traitement et en demandant le remboursement du montant sur un numéro de compte contrôlé par les pirates.

En raison de l’insuffisance des évaluations des risques et des mesures de sécurité du responsable du traitement, ainsi que de l »insuffisance de l’évaluation des risques, l’AEPD a décidé d’engager une procédure de sanction à l’encontre du responsable du traitement et a recommandé une sanction de 600 000 euros, finalement réduite.

Disponible (en anglais) sur: gdprhub.eu
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée

ICO (autorité anglaise)

Le stagiaire du loueur de voitures ‘Rent-A-Car’ condamné à une amende de 300€ pour avoir obtenu illégalement des données sur ses clients

Un ancien stagiaire en gestion chez Enterprise Rent-A-Car UK Limited (« Rent-A-Car ») a été condamné à payer une amende d’environ 300€ après avoir admis avoir obtenu illégalement des données de clients entre le 18 mars 2019 et le 1er avril 2019, alors que l’entreprise n’avait pas consenti à ce qu’il obtienne ces données, déclarant que l’accès à ces informations ne relevait pas de son rôle et qu’il n’y avait pas de nécessité professionnelle à ce qu’il le fasse.

Dans cette affaire, les préoccupations initiales ont été soulevées après que S. Saleem, 42 ans, se soit rendu sur son lieu de travail dans le West Yorkshire en dehors des heures prévues, le dimanche 31 mars 2019. Un audit interne a révélé qu’il avait passé 32 minutes à accéder à 39 enregistrements de données clients concernant 25 agences de location différentes. À la suite de cela, Rent-A-Car a mené une enquête interne qui a révélé que Saleem avait accédé à un certain nombre d’enregistrements contenant des données personnelles au cours de la période incriminée en 2019 – au total au moins 213 dossiers ont été consultés illégalement. Il a été licencié pour faute grave peu de temps après avant d’être condamné par l’ICO.

[Ajout contextuel Portail RGPD: Habituellement, les noms des personnes physiques condamnées par les autorités de protection des données ne sont pas publiés. Ici, la décision (non publiée) est rendue par une Cour pénale britannique – leur culture admettant plus facilement le « name-and-shame » que la notre : malgré tout, la décision de publier le nom du stagiaire pourrait lui causer un préjudice important allant bien au delà de la sanction financière – et ce alors même que les faits se sont déroulés il y a plus de 5 ans. Par exemple, n’importe quel futur employeur de ce stagiaire qui prendrait la peine de taper son nom risquerait fort de rejeter sa candidature. Enfin, il est notable que la durée de la publication intégrant le nom du stagiaire n’a pas été précisée dans la publication.]

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

Les services de l’enfance de Birmingham réprimandés après avoir divulgué de manière inappropriée les informations personnelles d’un enfant

L’ICO a annoncé avoir adressé un blâme à la Birmingham Children’s Trust Community Interest Company après que les informations personnelles d’un enfant ont été divulguées de manière inappropriée à une autre famille. Le service de protection et de révision des enfants de la Birmingham Children’s Trust Community Interest Company, qui appartient au conseil municipal de Birmingham, travaillait avec deux familles voisines lorsque la violation de données s’est produite. Un plan de protection de l’enfance a en effet été communiqué à l’une des familles, qui contenait à la fois des informations personnelles et des allégations criminelles concernant un enfant de la famille voisine. Ces informations ont été incluses par erreur après avoir été copiées à partir de procès-verbaux de réunions.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

Décision du Tribunal de première instance sur le recours de « Join the Triboo »

Nous nous félicitons de la décision du First-tier Tribunal (General Regulatory Chamber) sur un appel de Join the Triboo Limited. La société de recrutement en ligne a fait appel d’une amende de 130 000 £ et d’un avis d’exécution émis par l’ICO en avril 2023 pour avoir envoyé 107 millions de courriels de spam à plus de 400 000 personnes sans leur consentement entre août 2019 et août 2020.

Dans un jugement rendu la semaine dernière, le Tribunal a rejeté l’appel contre l’amende et a confirmé le montant de la pénalité de 130 000 £. Le Tribunal a estimé que la politique de confidentialité de Join the Triboo était « mal signalée » et que l’inscription seule ne pouvait pas être considérée comme un consentement au marketing direct. Join the Triboo doit maintenant fournir des déclarations de consentement et des politiques de protection de la vie privée à jour pour que le Tribunal puisse les examiner avant de décider si l’avis d’exécution doit être maintenu.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

 Violations d’informations sensibles récurrentes concernant des personnes vivant avec le VIH

Les personnes vivant avec le VIH sont privées de leur « dignité fondamentale et de leur vie privée » en raison des violations répétées de données qui révèlent leur statut sérologique, en raison de qui l »ICO appelle à des « améliorations urgentes » dans tout le Royaume-Uni.
Le régulateur travaille avec les organisations caritatives de lutte contre le VIH afin d’améliorer le soutien offert aux personnes vivant avec le VIH sur la manière dont leurs informations sensibles sont traitées. Le commissaire, John Edwards, a condamné les normes de protection des données dans les services de santé destinés aux personnes vivant avec le VIH et a appelé à des améliorations urgentes. Cette déclaration fait suite à plusieurs violations de données, ainsi qu’aux préoccupations exprimées par certaines des plus grandes organisations de lutte contre le VIH du pays.

Au cours de l’année 2022/3, le secteur de la santé a représenté plus d’un cinquième de toutes les violations de données personnelles, ce qui en fait la source la plus fréquente de signalements à l’ICO.
La déclaration d’aujourd’hui fait suite à une autre amende infligée par l’Information Commissioner’s Office (ICO) à un prestataire de services liés au VIH. L’ICO a infligé une amende de 7 500 livres sterling à la Central Young Men’s Christian Association (Central YMCA) de Londres pour une violation de données dans le cadre de laquelle des courriels destinés à des personnes participant à un programme de soutien aux séropositifs ont été envoyés à 264 adresses électroniques en utilisant la fonction CC au lieu de la fonction BCC, révélant ainsi les adresses électroniques à tous les destinataires. 166 personnes ont ainsi été identifiées ou potentiellement identifiables. L’association Central YMCA s’est acquittée de l’intégralité de l’amende.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

L’ICO inflige des amendes d’un montant total de 340 000 livres sterling à deux entreprises pour avoir effectué des appels commerciaux agressifs et non désirés

L’Information Commissioner’s Office (ICO) a condamné Outsource Strategies Ltd (OSL), basée à Cardiff, à une amende de 240 000 livres sterling et Dr Telemarketing Ltd (DRT), basée à Londres, à une amende de 100 000 livres sterling, après que les sociétés aient passé au total près de 1,43 million d’appels à des personnes inscrites sur le registre britannique des « personnes à ne pas appeler », le Telephone Preference Service (TPS). Les appels, tous effectués entre le 11 février 2021 et le 22 mars 2022, ont donné lieu à 76 plaintes auprès de l’ICO et du TPS. Les personnes qui se sont plaintes ont déclaré que les appelants étaient agressifs et utilisaient des tactiques de vente à haute pression pour les persuader de souscrire à des produits. L’enquête de l’ICO a également révélé que les deux sociétés ciblaient spécifiquement les personnes âgées et vulnérables.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

AEPD (autorité espagnole)

 Vodafone condamné à payer une amende 200 000€ pour avoir fourni des duplicata de cartes SIM à des escrocs (« SIM swapping »)

Dans cette affaire, l’AEPD estime notamment que « les actions signalées par la plaignante ont été classées comme frauduleuses, en particulier le duplicata de carte SIM non reconnu. Un duplicata de carte SIM a été traité le 6 décembre 2022, géré par téléphone, ainsi qu’une précédente demande de duplicata de carte SIM le 5 décembre 2022, qui est cependant enregistrée comme annulée par la plaignante elle-même ». En conséquence, elle estime que « la diligence employée par Vodafone pour identifier la carte SIM est discutable. En tout état de cause, la procédure de vérification mise en œuvre par Vodafone n’a pas été suivie car, si elle l’avait été, la demande aurait dû être refusée. En vertu du principe de la responsabilité proactive, le responsable du traitement doit être en mesure de démontrer comment il respecte les principes du traitement et des bases de légitimité. principes et les bases de la légitimité. Au vu de ce qui précède, Vodafone ne prouve pas qu’une telle procédure a été suivie, il y a donc eu un traitement illicite des données à caractère personnel du plaignant, en violation de l’article 6 du RGPD. » En conséquence, Vodafone est condamné par l’AEPD à payer une amende de 200 000€.

Disponible (en espagnol) sur: aepd.es
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

Une « association pour le logement » réprimandée pour avoir divulgué des informations personnelles sur son portail en ligne

L’ICO a annoncé avoir adressé un blâme à la Clyde Valley Housing Association dans le Lanarkshire après que des informations personnelles aient été accessibles à d’autres résidents sur un portail client en ligne.

En effet, dès le premier jour du lancement du portail en 2022, un résident a découvert qu’il pouvait accéder à des documents relatifs à des cas de comportement antisocial et consulter des informations personnelles sur d’autres résidents, notamment leurs noms, adresses et dates de naissance. Le résident a appelé un conseiller du service clientèle de la Clyde Valley Housing Association pour signaler la violation, mais ses préoccupations n’ont pas été transmises à un échelon supérieur, et les informations personnelles sont restées accessibles pendant cinq jours. À la suite d’un courriel de masse envoyé aux résidents pour promouvoir le portail, quatre autres résidents ont signalé la même violation, et le nouveau système a été suspendu.

L’enquête a révélé que l’association de logement n’avait pas testé le portail de manière appropriée avant sa mise en service et que le personnel n’avait pas bien compris la procédure à suivre pour signaler une violation de données.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Homo Digitalis

L’autorité grecque de protection des données inflige au ministère des migrations et de l’asile l’amende la plus importante jamais imposée à un organisme public grec pour les inconformités de ses systèmes « Centaurus » et « Hyperion ».

Dans son article, l’association militante explique qu’ il y a deux ans, Homo Digitalis avait déposé une plainte contre le ministère de l’Immigration et de l’Asile pour les systèmes « Centaurus » et « Hyperion » déployés dans les structures d’accueil et d’hébergement des demandeurs d’asile, en coopération avec les organisations de la société civile Hellenic League for Human Rights et HIAS Greece, ainsi que l’universitaire Niovi Vavoula. Le système « Centaurus » est un système numérique de gestion de la sécurité électronique et physique autour et à l’intérieur des installations, utilisant des caméras et des algorithmes d’analyse comportementale de l’intelligence artificielle, tandis que le système « Hyperion » est le principal outil de contrôle de l’accès (entrée et sortie) à ces installations à l’aide de données biométriques.

Aujourd’hui, l’association annonce que l’Autorité hellénique de protection des données a identifié d’importantes violations du GDPR dans cette affaire par le ministère de l’Immigration et de l’Asile, parmi lesquelles l’absence d’AIPD, la quasi-impossibilité pour les personnes concernées d’exercer leurs droits. En conséquence, l’autorité a décidé d’imposer une amende de 175 000 euros – décrite comme la plus élevée jamais imposée à un organisme public dans le pays – et a par ailleurs 3 mois pour se mettre en conformité avec la réglementation.

[Ajout contextuel Portail RGPD: Cette sanction met en valeur les différences entre le régime juridique grec et le régime français : en France, les sanctions pécuniaires sont en effet expressément écartées par l’article 20 de la Loi Informatique et Libertés s’agissant des traitements mis en œuvre par l’Etat.]

Disponible (en anglais) sur: homodigitalis.gr
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

AEPD (autorité espagnole)

L’autorité espagnole de protection des données ordonne une mesure conservatoire qui empêche Worldcoin de continuer à traiter des données à caractère personnel en Espagne.

Par une décision du 6 mars 2024, l’AEPD exige de Worldcoin (outil permettant de créer une identité numérique via l’iris des personnes concernées) la cessation de la collecte et du traitement de données à caractère personnel sensibles (en l’occurrence, biométriques) ainsi que le blocage des données déjà collectées. L’AEPD indique avoir reçu plusieurs plaintes dénonçant des informations insuffisantes, la collecte de données auprès de mineurs et l’impossibilité de retirer son consentement, entre autres infractions. L’AEPD précise que cette décision est basée sur des circonstances exceptionnelles, où il est nécessaire d’adopter des mesures visant à la cessation immédiate des activités de traitement afin d’éviter le transfert éventuel de données à des tiers et de sauvegarder le droit fondamental des personnes à la protection des données à caractère personnel.
Enfin, cette interdiction temporaire d’activité, limitée à l’Espagne, est valable pour une période maximale de trois mois.

[Ajout contextuel Portail RGPD: Si l’article 58 du RGPD donne effectivement aux autorités de contrôle le pouvoir « d’imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement », il s’agit jusqu’à présent d’une possibilité qui n’a été que très peu utilisée, probablement au regard des conséquences qu’elle peut avoir sur l’activité économique de la société concernée et/ou sur la liberté d’entreprendre. Cela pourrait expliquer pourquoi l’AEPD a tenu à préciser que des « circonstances exceptionnelles » sont à l’origine de cette décision.]

Disponible sur: aepd.es
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Retour en haut