L'autorité suédoise sanctionne un fournisseur de systèmes pour des mesures de sécurité technique et organisationnelle jugées insuffisantes, ayant conduit à une violation de données massive affectant 2,2 millions de personnes. La décision met en lumière l'absence de contrôles adéquats lors de l'installation de nouveaux logiciels et l'inexistence d'une surveillance en temps réel des systèmes, des mesures considérées comme fondamentales au regard de la sensibilité des données traitées.

Faits et contexte

L'autorité suédoise de protection de la vie privée (IMY) a aujourd'hui publié une décision de sanction à l'encontre de la société Miljödata i Karlskrona AB, comprenant le prononcé d'une amende de 1 800 000 couronnes suédoises (environ 164 000 €), pour des manquements en lien avec la sécurité du traitement des données personnelles.

L'affaire trouve son origine dans une enquête initiée par l'autorité suite à une importante violation de données subie par la société en août 2025, au cours de laquelle un acteur malveillant a exfiltré puis publié des données sur le réseau Tor.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a conclu que la société n'avait pas mis en œuvre un niveau de sécurité technique et organisationnelle approprié au regard des risques présentés par le traitement. Elle a relevé que les données compromises comprenaient des numéros d'identification nationaux, des coordonnées et des données sensibles relatives à l'absentéisme pour maladie, à la réadaptation ou à des incidents scolaires, concernant 2,2 millions de personnes. L'enquête a spécifiquement démontré que la société n'effectuait pas de contrôles suffisants lors de l'installation de nouveaux logiciels et ne disposait pas d'un système de surveillance automatisé et en temps réel pour détecter les intrusions et les activités suspectes.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 800 000 couronnes suédoises (environ 164 000 €) à Miljödata i Karlskrona AB.

Enseignements

Cette décision rappelle que :

• Le niveau de sécurité technique et organisationnelle doit être rigoureusement proportionné à la nature et au volume des données traitées ; le traitement à grande échelle de données sensibles impose des mesures de protection particulièrement robustes.
• La surveillance automatisée et en temps réel des systèmes d'information est une mesure essentielle pour détecter et réagir rapidement aux intrusions, et ne saurait être négligée par un responsable du traitement ou un sous-traitant.
• La mise en place de procédures de contrôle et de validation avant l'installation de tout nouveau logiciel est une composante critique de la sécurité des systèmes, afin de prévenir l'introduction de vulnérabilités.