Une amende de 11 594 PLN (environ 2 685 €) a été infligée à un cabinet de conseil fiscal pour ne pas avoir mis en œuvre des mesures techniques et organisationnelles appropriées, ce qui a permis un accès non autorisé à une boîte de courriels contenant les données de 111 personnes.

Faits et contexte

L'autorité polonaise de protection des données (UODO) a aujourd'hui publié une décision de sanction à l'encontre d'un cabinet de conseil fiscal, comprenant le prononcé d'une amende de 11 594 PLN (environ 2 685 €), pour des manquements en lien avec la sécurité du traitement des données personnelles.

L'affaire a débuté par la notification d'une violation de données par le responsable du traitement lui-même, suite à la prise de contrôle non autorisée d'un compte de messagerie électronique d'un de ses employés qui contenait les données de 111 personnes (clients, leurs employés et enfants).

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que le responsable du traitement n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Bien que le cabinet ait soutenu qu'il n'existait aucune preuve de l'exfiltration des données par la personne non autorisée, l'autorité a rejeté cet argument. Elle a rappelé que la définition d'une "violation de données à caractère personnel" inclut l'accès non autorisé, indépendamment de la preuve de la consultation ou de la copie effective des données. L'incapacité du cabinet à déterminer la durée et l'étendue de l'accès illégitime, faute de journaux de connexion, a été retenue comme une défaillance. De plus, il a été établi qu'avant l'incident, le cabinet ne disposait d'aucune politique interne spécifique à la protection des données, n'avait pas réalisé d'analyse de risques pour le traitement de données par messagerie et ne testait pas régulièrement l'efficacité de ses mesures de sécurité.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 11 594 PLN (environ 2 685 €) au cabinet de conseil fiscal.

Enseignements

Cette décision rappelle que :

• Une violation de données est constituée dès lors qu'un accès non autorisé à des données personnelles est avéré, même en l'absence de preuve formelle de leur exfiltration ou de leur consultation.
• L'incapacité d'un responsable du traitement à analyser un incident de sécurité, notamment par manque de journaux d'événements, constitue en soi un manquement à l'obligation de sécurité.
• Les mesures de sécurité, telles que l'analyse de risques et la mise en place de politiques, doivent être proactives et mises en œuvre avant tout incident, et non en réaction à une violation.
• L'obligation de sécurité impose de tester, d'analyser et d'évaluer régulièrement l'efficacité des mesures techniques et organisationnelles mises en place.