L'autorité polonaise a rappelé à l'ordre un responsable du traitement et son sous-traitant pour ne pas avoir respectivement vérifié et mis en œuvre des garanties suffisantes en matière de sécurité, suite à un accès non autorisé à une boîte de messagerie électronique.

Faits et contexte

L'autorité polonaise de protection des données (UODO) a aujourd'hui publié une décision prononçant un avertissement à l'encontre d'un hôpital spécialisé et de son fournisseur de services de messagerie électronique pour des manquements liés à la vérification des garanties du sous-traitant et à la sécurité du traitement.

L'affaire a débuté en 2021 suite à la notification d'une violation de données par l'hôpital, après qu'un tiers non autorisé a accédé au contenu d'une boîte de messagerie hébergée par le prestataire et a exfiltré les données personnelles de 224 personnes.

Motifs de la décision

L'autorité a retenu plusieurs manquements à l'encontre du responsable du traitement (l'hôpital) et de son sous-traitant (le fournisseur de messagerie) :

• Obligation de recourir à des sous-traitants présentant des garanties suffisantes (article 28, paragraphe 1 du RGPD) : L'autorité a constaté que l'hôpital, bien que disposant de procédures internes pour évaluer ses fournisseurs, n'a pas vérifié concrètement si son prestataire de messagerie offrait des garanties suffisantes pour assurer un traitement conforme au RGPD. Le responsable du traitement n'a pas suivi ses propres politiques et n'a pas pu démontrer avoir exercé la diligence requise dans le choix et le suivi de son sous-traitant, engageant ainsi sa responsabilité au titre des principes de confidentialité et de responsabilité.
• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'hôpital a également manqué à ses obligations en ne réalisant pas une analyse de risques adéquate concernant l'utilisation de la messagerie électronique. Bien qu'une analyse ait été menée, elle n'identifiait pas spécifiquement le fournisseur et, surtout, l'hôpital n'a pas mis en œuvre les mesures de minimisation des risques qu'il avait lui-même identifiées avant l'incident.
• Obligation du sous-traitant d'assurer la sécurité du traitement (article 28 du RGPD et article 32 du RGPD) : Le sous-traitant a été sanctionné pour ne pas avoir mis en œuvre les mesures techniques et organisationnelles appropriées garantissant la sécurité des données confiées. L'autorité a relevé que, malgré une certification ISO/IEC 27001, le prestataire n'avait pas réalisé d'analyse de risques spécifique aux données de l'hôpital. Il n'a donc pas pu démontrer avoir mis en place des garanties suffisantes pour protéger les droits des personnes, en violation de ses obligations.

Décision de l'autorité

En conséquence, l'autorité a imposé un avertissement à l'hôpital et à son sous-traitant.

L'autorité a justifié l'absence de sanction pécuniaire par le fait que les manquements ne résultaient pas d'une absence totale d'action de la part des deux entités. Elle a également tenu compte des mesures correctives prises après l'incident pour améliorer la sécurité, de la prise de conscience des manquements et de l'implication du délégué à la protection des données pour rehausser le niveau de conformité.

Enseignements

Cette décision confirme que :

• Le choix d'un sous-traitant impose au responsable du traitement de vérifier et de documenter activement que celui-ci présente des garanties techniques et organisationnelles suffisantes, au-delà de ses simples déclarations.
• L'existence de politiques internes de sécurité ou de gestion des fournisseurs n'exonère pas le responsable du traitement de sa responsabilité s'il ne peut pas prouver qu'il les a effectivement appliquées.
• Une analyse de risques n'est conforme au RGPD que si elle est suivie de la mise en œuvre effective des mesures de mitigation identifiées ; un exercice purement documentaire est insuffisant.
• Un sous-traitant ne peut se contenter d'une certification générale pour prouver sa conformité ; il doit réaliser une analyse de risques adaptée aux traitements spécifiques qu'il effectue pour le compte de chaque responsable du traitement.
• La prise de mesures correctives rapides après une violation et la coopération avec l'autorité de contrôle sont des facteurs déterminants dans la décision de ne pas imposer de sanction pécuniaire.