Dernières actualités : données personnelles

UODO (autorité polonaise)

Selon l’autorité polonaise, le responsable du traitement ne peut pas déléguer à un employé le soin de déterminer comment sécuriser les données

En février 2020, un greffier du tribunal de Zgierz a perdu une clé USB non chiffrée contenant les données personnelles de 400 personnes. Il s’agissait de noms, de dates de naissance, d’adresses de résidence ou de séjour, de numéros PESEL, de données sur les revenus et/ou le patrimoine, de numéros de cartes d’identité, de numéros de téléphone, de données sur la santé et de condamnations. Le président du tribunal de district – le responsable du traitement – a signalé cette violation et en a informé les personnes dont les données se trouvaient sur les supports perdus.

Outre quelques reproches concernant le contenu (incomplet) de l’information des personnes concernées, l’UODO a estimé que le responsable du traitement n’avait pas correctement mis en œuvre les garanties techniques et organisationnelles. Selon les procédures en vigueur au tribunal de Zgierz, l’obligation de sécuriser les supports officiels contenant des données à caractère personnel incombait aux utilisateurs (employés) eux-mêmes. Avant cette violation, les employés étaient simplement formés à la protection des données.

Néanmoins, l’autorité polonaise estime qu’une formation unique ne suffit pas, car cela ne garantit pas qu’un employé ne transférera pas de données sur un support non sécurisé. Dans le cas présent, l’employé a protégé les données en transportant une clé USB dans un sac fermant à clé.Elle a ainsi estimé que l’administrateur :

* n’a pas procédé à une analyse de risque appropriée et n’a donc pas pu chercher à minimiser le risque de manière adéquate ;
* s’est limité à des mesures de protection organisationnelles (procédures, formation), sans en vérifier l’efficacité ;
* et n’a pas mis en œuvre de mesures de protection techniques telles que le cryptage ou la vérification des supports.

Conséquence pour le tribunal : une amende de 10 000 PLN, soit un peu moins de 2500 euros.
L’affaire ne s’arrête pas là : le président du tribunal de district de Zgierz a fait appel de cette décision … et a vu ses plaintes être rejetées par les tribunaux des deux instances.

Disponible (en polonais) sur: uodo.gov.pl
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

AEPD (autorité espagnole)

Geopost condamnée à une amende de 55 000€ pour avoir laissé un avis de passage à la vue de tous

Le 6 juin 2024, la société Geopost (filiale du groupe La Poste) a été condamnée à une amende totale de 55 000 euros, sur le fondement des articles 5 et 32 du RGPD, pour ne pas avoir suffisamment assuré la confidentialité et la sécurité des données à caractère personnel d’une personne concernée. Cette affaire commence de manière très banale : un particulier a commandé un colis sur Amazon et, n’étant pas chez lui le jour de la livraison, a demandé au géant américain de changer l’adresse de la livraison afin de s’assurer de recevoir son colis.  Néanmoins, cela n’a pas été pris en compte à temps, ce particulier ayant, un peu plus tard, « appris par des membres de sa famille qui passaient par là qu’un livreur  avait laissé une étiquette sur l’extérieur de la boîte aux lettres de son domicile, visible par tout voisin ou visiteur de la propriété, indiquant ses données personnelles, à savoir ses nom et prénom, son adresse postale, ainsi que son numéro de téléphone. Cette étiquette a été affichée dans un lieu de transit jusqu’au 6 septembre 2022, date à laquelle elle a été retirée.  » Peu de temps après, cette personne a décidé de déposer une plainte auprès de l’AEPD, et l’enquête a permis à l’autorité d’établir la véracité de ces déclarations, et notamment des différentes pièces et photographies jointes au dossier.

L’AEPD estime que cette circonstance, selon laquelle le défendeur est une entité qui gère un volume important de livraisons et d’enlèvements de colis de clients dont les données personnelles sont systématiquement traitées dans l’exercice de ses fonctions, détermine un degré plus élevé d’exigence et de professionnalisme et, par conséquent, de responsabilité de l’entité en ce qui concerne le traitement des données à caractère personnel. De son côté, Geopost admettait que « pour la seule année 2021, le volume traité a été de plus de 50 millions de livraisons et d’enlèvements » mais, elle considère que ces faits sont la faute professionnelle du chauffeur-livreur qui n’a pas suivi les protocoles internes, ne s’apparente pas à un fonctionnement normal. Geopost estimait ainsi avoir pris des mesures organisationnelles adéquates et suffisantes.
Ces arguments n’ont toutefois pas convaincu l’AEPD, qui a décidé de condamner la société à une amende de 55 000 euros.

Disponible (en espagnol) sur: aepd.es
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

L’Usine Digitale

Les forces de police européennes s’insurgent contre le chiffrement de bout en bout sur les messageries instantanées

Réunis à Londres la semaine dernière, 32 directeurs des forces de police européennes ont publié le 21 avril un communiqué conjoint sur leur préoccupation vis-à-vis du chiffrement de bout en bout, qui se déploie progressivement sur plusieurs applications de messagerie. “Les entreprises ne seront plus en mesure de répondre efficacement aux autorités compétentes, écrivent-ils. Elles ne pourront plus, non plus, identifier ou signaler les activités illégales sur leurs plateformes.”
La déclaration a été signée par les 27 États membres de l’UE, le Royaume-Uni, la Norvège, la Suisse, l’Islande et le Liechtenstein. Au cours de la réunion, Graeme Biggar, directeur général de la National Crime Agency (NCA), agence britannique de lutte contre le crime organisé, a nuancé : “Le chiffrement peut être extrêmement bénéfique, en protégeant les utilisateurs contre toute une série de crimes. Mais le déploiement brutal et de plus en plus répandu (…), sans tenir suffisamment compte de la sécurité publique, met les utilisateurs en danger.”

Disponible sur: usine-digitale.fr

Daily dot

Une compagnie aérienne américaine divulgue accidentellement une « No Fly List » sur un serveur non sécurisé

Un serveur non sécurisé découvert la semaine dernière par un chercheur en sécurité contenait les identités de centaines de milliers de personnes figurant dans la base de données du gouvernement américain sur le dépistage du terrorisme et la liste des personnes interdites de vol. Localisé par le pirate informatique suisse, le serveur géré par la compagnie aérienne nationale américaine CommuteAir, a été laissé exposé sur l’internet public. Il a révélé une grande quantité de données sur l’entreprise, y compris des informations privées sur près de 1 000 employés de la compagnie aérienne CommuteAir.

Pire : l’analyse du serveur a permis de découvrir un fichier texte intitulé « NoFly.csv », faisant référence à un groupe de personnes figurant dans la base de données sur le contrôle des activités terroristes et interdites de vol en raison de liens présumés ou avérés avec des organisations terroristes. Cette liste contiendrait plus d’1 million d’entrées au total, et comporterait des noms, des dates de naissances, mais également des pseudonymes.

Disponible (en anglais) sur: dailydot.com
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

Retour en haut