Une analyse des risques qui omet d'inclure des menaces évidentes, comme l'erreur humaine, est jugée insuffisante et entraîne une violation des obligations de sécurité et de protection des données dès la conception.

Faits et contexte

L'autorité polonaise de protection des données (UODO) a publié le 2 novembre 2026 une décision de sanction à l'encontre de l'École Supérieure de Logistique de Poznań, comprenant le prononcé d'une amende de 64 652 zł (environ 15 035 €), pour des manquements liés à la sécurité du traitement des données personnelles.

L'affaire trouve son origine dans la notification d'une violation de données par l'école elle-même, suite à la publication accidentelle par un employé d'un fichier contenant les données détaillées de 964 étudiants sur la plateforme en ligne du décanat.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement et la protection des données dès la conception (article 24, paragraphe 1, article 25, paragraphe 1 et article 32, paragraphes 1 et 2 du RGPD) : L'autorité a constaté que le responsable du traitement n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. En effet, l'analyse des risques menée avant l'incident, bien que prenant en compte des menaces comme les pannes matérielles ou les virus, n'incluait pas la menace d'une divulgation accidentelle de données par un employé. L'autorité a souligné que même après la violation, l'analyse des risques mise à jour n'a pas été corrigée pour intégrer cette menace pourtant avérée, conservant le même catalogue de risques qu'auparavant. Par conséquent, le choix des mesures de sécurité était arbitraire et inadapté, en violation des principes de protection des données dès la conception et de sécurité du traitement. De plus, l'école n'a pu fournir aucune preuve documentaire des contrôles qu'elle prétendait avoir effectués pour vérifier les communications, manquant ainsi à son obligation de démontrer sa conformité.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 64 652 zł (environ 15 035 €) à l'École Supérieure de Logistique de Poznań.

En outre, l'autorité a ordonné à l'école de mettre ses opérations de traitement en conformité avec le RGPD. Cette mise en conformité passe par la réalisation d'une analyse des risques complète et la mise en œuvre de mesures techniques et organisationnelles appropriées pour minimiser les risques identifiés, en tenant compte de l'état des connaissances, des coûts de mise en œuvre et de la nature du traitement.

Enseignements

Cette décision rappelle que :

• Une analyse des risques doit être exhaustive et inclure des menaces prévisibles telles que l'erreur humaine ; son périmètre ne peut se limiter aux seuls risques techniques comme les pannes matérielles ou les cyberattaques.
• La survenance d'un incident de sécurité doit impérativement conduire à une réévaluation et une mise à jour de l'analyse des risques pour y intégrer la menace qui s'est matérialisée.
• L'obligation de responsabilité (accountability) impose de documenter les mesures de contrôle et de vérification mises en place ; de simples affirmations sans preuve sont insuffisantes pour démontrer la conformité.