Dans une décision notable, l'autorité espagnole a classé sans suite une procédure contre un responsable de traitement pour une violation de données survenue chez son sous-traitant, estimant que ce dernier avait agi en dehors des instructions contractuelles claires et précises qui lui avaient été données.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de classement sans suite à l'encontre de VODAFONE ESPAÑA, S.A.U. concernant une violation de données survenue chez l'un de ses sous-traitants.

L'affaire trouve son origine dans la notification d'une violation de données par VODAFONE ESPAÑA, S.A.U. le 9 octobre 2023, suite à une cyberattaque ayant affecté l'un de ses distributeurs et ayant conduit à la publication de données de clients sur le web profond.

Motifs de la décision

• Obligation de formaliser la relation avec le sous-traitant (article 28 du RGPD) : L'autorité avait initialement reproché à VODAFONE l'absence de contrats d'encadrement avec deux de ses distributeurs agissant comme sous-traitants. Cependant, l'entreprise a produit les contrats en question, dont la validité des signatures (l'une certifiée par un tiers de confiance, l'autre électronique et située en annexe) n'a pu être remise en cause par l'autorité. L'autorité a donc conclu que ce manquement n'était pas constitué.
• Obligation d'assurer la sécurité des données (article 5, paragraphe 1, point f) du RGPD et article 32 du RGPD) : L'autorité a analysé si la responsabilité de la violation pouvait être imputée à VODAFONE. Elle a constaté que les contrats de sous-traitance contenaient des instructions précises et des clauses de sécurité, notamment l'obligation pour le sous-traitant de réaliser des analyses de vulnérabilités. S'appuyant sur les lignes directrices 7/2020 du Comité Européen de la Protection des Données et sur l'arrêt de la Cour de Justice de l'Union Européenne du 5 décembre 2023 (affaire C-683/21), l'autorité a estimé que la responsabilité du responsable de traitement ne s'étend pas aux cas où le sous-traitant agit en dehors ou de manière incompatible avec les instructions reçues. En l'espèce, la violation résultait du non-respect de ces instructions par le sous-traitant, exonérant ainsi VODAFONE de sa responsabilité.

Décision de l'autorité

En conséquence, l'autorité a décidé de classer la procédure sans suite et n'a prononcé aucune sanction à l'encontre de VODAFONE ESPAÑA, S.A.U.

Enseignements

Cette décision rappelle que :

• Un responsable de traitement peut être exonéré de sa responsabilité pour une violation de données survenue chez son sous-traitant, à condition de démontrer que ce dernier a agi en dehors des instructions contractuelles claires et adéquates qui lui avaient été fournies.
• Les contrats de sous-traitance doivent contenir des mesures de sécurité techniques et organisationnelles précises et vérifiables, telles que l'obligation de réaliser des analyses de vulnérabilités, et ne pas se limiter à des clauses générales.
• En cas de litige sur l'existence d'un contrat de sous-traitance, la production d'un document signé, y compris par signature électronique, fait peser sur l'autorité de contrôle la charge de prouver son invalidité.