Un concessionnaire automobile a fait l'objet d'une critique sévère de l'autorité danoise après qu'une cyberattaque a révélé que les données de 25 000 à 30 000 personnes auraient dû être effacées bien avant l'incident, soulignant l'inefficacité de ses mesures organisationnelles et l'absence de contrôle régulier.

Faits et contexte

L'autorité danoise de protection des données (Datatilsynet) a publié une décision prononçant une critique sévère à l'encontre du concessionnaire automobile Jan Nygaard pour des manquements en lien avec la limitation de la conservation et la sécurité du traitement.

L'affaire trouve son origine dans la notification d'une violation de données par le concessionnaire le 6 janvier 2025, suite à une cyberattaque de type rançongiciel ayant compromis les données de plus de 48 000 personnes, incluant des clients et 194 employés.

Motifs de la décision

• Obligation de limitation de la conservation (article 5, paragraphe 1, point e, du RGPD) : L'autorité a constaté que les données personnelles d'environ 25 000 à 30 000 clients auraient dû être supprimées au moment de l'attaque. Ces informations étaient stockées sur un lecteur serveur qui aurait dû être mis hors service en 2018, après la migration de l'entreprise vers SharePoint. L'autorité a jugé que la conservation de ces données sur ce support obsolète n'était plus nécessaire au regard des finalités pour lesquelles elles avaient été collectées, violant ainsi le principe de limitation de la conservation.
• Obligation de sécurité du traitement (article 32, paragraphe 1, du RGPD) : L'autorité a relevé que le concessionnaire n'avait pas mis en œuvre de mesures techniques et organisationnelles appropriées. D'une part, l'attaquant a pu s'introduire dans le système via un compte utilisateur qui, en raison d'une erreur de configuration, n'était pas protégé par une authentification multifacteur. D'autre part, et de manière plus fondamentale, l'entreprise a manqué à son obligation, prévue à l'article 32, paragraphe 1, point d, du RGPD, de tester, d'analyser et d'évaluer régulièrement l'efficacité de ses mesures. Bien qu'une instruction ait été donnée en 2018 pour ne plus stocker de données sur l'ancien serveur, aucune vérification n'a été effectuée pour s'assurer de son application, ce qui a rendu cette mesure organisationnelle totalement inefficace.

Décision de l'autorité

En conséquence, l'autorité a prononcé une critique sévère à l'encontre de Jan Nygaard.

Enseignements

Cette décision rappelle que :

• Le non-respect du principe de limitation de la conservation aggrave considérablement les conséquences d'une violation de données, en exposant des informations qui n'auraient plus dû être traitées.
• L'adoption de mesures organisationnelles, telles que des instructions internes sur le stockage des données, est insuffisante si leur efficacité n'est pas régulièrement testée, évaluée et contrôlée, conformément à l'article 32, paragraphe 1, point d, du RGPD.
• La tenue d'un registre des activités de traitement et une cartographie précise des données sont des prérequis essentiels pour garantir en pratique le respect des principes fondamentaux, notamment en permettant de contrôler les durées de conservation et l'efficacité des mesures de sécurité.