Une violation de données chez un concessionnaire automobile a révélé des manquements sous-jacents en matière de sécurité, de transparence sur la conservation des données des prospects et de respect du droit à l'effacement, entraînant une sanction financière et des mesures correctrices.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de FLEXICAR INTERNACIONAL, S.L. (comprenant le prononcé d'une amende de 680 000 €) pour des manquements en lien avec la sécurité des données, la transparence sur les durées de conservation et le non-respect des droits des personnes.

L'affaire trouve son origine dans trois plaintes, dont deux concernaient le non-respect de demandes d'effacement de données, révélé lorsque les plaignants ont reçu une notification de violation de données de la part de l'entreprise.

Motifs de la décision

• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté qu'une violation de données avait entraîné l'exfiltration d'informations personnelles, y compris des données sensibles comme le numéro de carte d'identité nationale, pour un grand nombre de personnes. L'AEPD a qualifié la conduite de l'entreprise de "négligence grave", soulignant qu'elle n'avait pas mis en œuvre des recommandations de cybersécurité qui lui avaient été faites en 2022. Ce manquement à l'obligation de garantir une sécurité appropriée des données a justifié une amende de 400 000 €.
• Obligation de sécurité du traitement (article 32 du RGPD) : L'autorité a estimé que l'entreprise n'avait pas mis en place les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne les données "bloquées". Le fait que la violation ait affecté les données de clients non qualifiés (prospects) et de personnes ayant consenti à recevoir des communications commerciales a démontré cette défaillance. Ce manquement a été sanctionné par une amende de 250 000 €.
• Obligation de transparence sur les durées de conservation (article 13 du RGPD) : La politique de confidentialité de l'entreprise était jugée trop générique. Elle ne distinguait pas les durées de conservation entre les clients effectifs et les clients non qualifiés (prospects), et n'informait pas ces derniers que leurs données seraient conservées pendant cinq ans. L'autorité a conclu que ce manque de précision empêchait les personnes concernées d'exercer un contrôle effectif sur leurs données, ce qui constitue une violation de l'obligation d'information, sanctionnée par une amende de 30 000 €.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 680 000 € à FLEXICAR INTERNACIONAL, S.L.

En outre, l'autorité a ordonné à l'entreprise de mettre sa politique d'information en conformité avec l'article 13 du RGPD sous un mois, notamment pour les clients non qualifiés, et d'adopter des mesures de sécurité conformes à l'article 32 du RGPD sous quatre mois, en particulier concernant le blocage des données.

Enseignements

Cette décision confirme / précise / rappelle que :

• Une politique de conservation des données doit définir des durées précises et distinctes pour chaque catégorie de personnes concernées (par exemple, clients effectifs et prospects), une simple mention des délais de prescription légale étant insuffisante.
• L'absence de mise en œuvre de recommandations de sécurité issues d'audits antérieurs peut être qualifiée de négligence grave et constitue un facteur aggravant dans l'évaluation d'une violation de l'article 5, paragraphe 1, point f) du RGPD.
• L'obligation de sécurité de l'article 32 du RGPD s'applique également aux données qui sont simplement "bloquées" (par exemple, en attente de suppression ou pour des raisons légales), qui doivent faire l'objet de mesures de protection techniques et organisationnelles appropriées.
• Une notification de violation de données adressée à une personne ayant préalablement exercé son droit à l'effacement constitue une preuve matérielle du non-respect de ce droit par le responsable du traitement.