Une attaque par rançongiciel chez un sous-traitant a conduit l'autorité espagnole à sanctionner le responsable de traitement, VODAFONE, à hauteur de 500 000 €, en retenant sa responsabilité pour des défaillances de sécurité structurelles sur sa propre infrastructure, notamment l'absence d'authentification multifacteur sur un accès à distance.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de VODAFONE ESPAÑA, S.A.U. (comprenant le prononcé d'une amende de 500 000 €) pour des manquements en lien avec la sécurité du traitement des données personnelles.

L'affaire trouve son origine dans la notification d'une violation de données par VODAFONE le 4 novembre 2023, suite à une attaque par rançongiciel subie le 2 novembre 2023 par l'un de ses sous-traitants.

Motifs de la décision

• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que la violation de données, qui a affecté la confidentialité et la disponibilité des données de 724 733 clients, résultait de mesures de sécurité inadéquates. Bien que l'attaque ait visé un sous-traitant, l'enquête a révélé que la cause première était une défaillance structurelle dans l'infrastructure de VODAFONE, à savoir un accès à son réseau privé virtuel (VPN) sans authentification multifacteur. Le sous-traitant avait créé un compte générique avec un mot de passe faible, facilitant ainsi l'intrusion. L'AEPD a rejeté l'argument de VODAFONE visant à transférer la responsabilité sur son sous-traitant, estimant que le responsable de traitement doit garantir un niveau de sécurité approprié sur sa propre infrastructure, ce qui inclut les accès qu'il fournit à ses prestataires. L'autorité a rappelé, en s'appuyant sur la jurisprudence du Tribunal Suprême (arrêt n° 188/2022), que si l'obligation de l'article 32 est une obligation "de moyens", la simple constatation de mesures inadaptées au risque suffit à caractériser le manquement. La certification ISO 27001 du sous-traitant n'a pas été jugée suffisante pour exonérer VODAFONE de sa propre négligence. Bien qu'une violation du principe de confidentialité (article 5, paragraphe 1, point f) du RGPD) ait également été constatée, l'autorité a décidé de qualifier l'ensemble des faits sous le seul manquement à l'article 32, le jugeant plus approprié pour sanctionner le défaut de mesures techniques et organisationnelles.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 500 000 € à VODAFONE ESPAÑA, S.A.U..

Enseignements

Cette décision rappelle que :

• La responsabilité du défaut de sécurité incombe au responsable de traitement lorsque la violation, bien que déclenchée par l'action d'un sous-traitant, trouve sa cause première dans une vulnérabilité de l'infrastructure du responsable de traitement lui-même.
• La certification d'un sous-traitant (telle que la norme ISO 27001) est un élément d'appréciation mais ne constitue pas une garantie de conformité et n'exonère pas le responsable de traitement de son obligation de vérifier l'adéquation des mesures de sécurité au regard des risques spécifiques du traitement.
• L'absence de mesures de sécurité fondamentales, comme l'authentification multifacteur pour les accès à distance à des systèmes contenant des données personnelles, constitue une négligence grave et une violation de l'obligation de garantir une sécurité appropriée au risque.