Un sous-traitant est sanctionné pour une violation de la confidentialité des données résultant de l'accès non autorisé d'un tiers à des images de vidéosurveillance, facilité par l'un de ses employés, engageant ainsi sa responsabilité directe au titre des articles 29 et 32 du RGPD.

Faits et contexte

L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) roumaine a publié une décision de sanction à l'encontre de SSG SELECT SOLUTIONS S.R.L., comprenant le prononcé d'une amende de 2 000 €, pour des manquements en lien avec la sécurité du traitement et le respect des instructions du responsable du traitement.

L'affaire trouve son origine dans la notification d'une violation de données effectuée par le responsable du traitement, Kaufland România SCS, concernant son sous-traitant SSG SELECT SOLUTIONS S.R.L.

Motifs de la décision

L'enquête a révélé qu'un employé du sous-traitant avait permis à un tiers d'accéder à la salle de vidéosurveillance d'un magasin. Ce tiers a pu ainsi consulter, enregistrer et diffuser en ligne, sur une plateforme de réseau social, des images vidéo provenant de l'intérieur du magasin, portant atteinte à la confidentialité des données de plusieurs personnes physiques. L'autorité a retenu les manquements suivants :

• Obligation de traiter les données uniquement sur instruction du responsable du traitement (article 29 du RGPD) : L'autorité a considéré que le sous-traitant n'avait pas pris les mesures nécessaires pour s'assurer que son personnel, agissant sous son autorité et ayant accès aux données, ne les traite que sur instruction. En permettant à un tiers non autorisé d'accéder aux images, l'employé a effectué un traitement de données (la divulgation par communication) qui n'était pas prévu par les instructions du responsable du traitement, engageant ainsi la responsabilité de son employeur.
• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a estimé que le sous-traitant n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité et de confidentialité adapté au risque. Le fait qu'un employé ait pu si facilement permettre l'accès physique d'un tiers à une zone sensible comme une salle de vidéosurveillance, menant à une violation de données, a démontré une défaillance dans les mesures de sécurité visant à protéger la confidentialité des données, en violation des paragraphes 1 point b), 2 et 4 de l'article 32 du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 10 200 lei (environ 2 000 €) à SSG SELECT SOLUTIONS S.R.L.

En outre, l'autorité a ordonné au sous-traitant de mettre en œuvre des mesures de contrôle et de surveillance supplémentaires pour garantir le respect des procédures de travail internes et des instructions du responsable du traitement, conformément aux exigences de l'article 28 du RGPD.

Enseignements

Cette décision rappelle que :

• La responsabilité du sous-traitant est directement engagée en cas de traitement de données par ses employés en dehors ou en violation des instructions reçues du responsable du traitement.
• Les mesures de sécurité appropriées au sens de l'article 32 du RGPD incluent nécessairement des mesures organisationnelles strictes encadrant l'accès physique aux locaux où les données sont traitées, ainsi que la surveillance du respect des procédures par le personnel.
• L'action non autorisée d'un employé qui conduit à une violation de données est considérée comme une défaillance des mesures de sécurité de l'employeur, et non comme une simple faute individuelle exonératoire.
• Le sous-traitant doit activement s'assurer que toute personne agissant sous son autorité respecte scrupuleusement les instructions documentées du responsable du traitement, ce qui inclut les restrictions d'accès aux données.