L'Inspection nationale des données de Lettonie (DVI) a publié une décision de sanction à l'encontre de la société SIA "ZZ Dats", comprenant le prononcé d'une amende de 300 000 €, pour des manquements en lien avec la sécurité des données personnelles.
Cette affaire débute par une information reçue par l'autorité concernant une fuite de données à grande échelle survenue fin 2024, affectant la quasi-totalité des municipalités lettones et concernant des données hébergées dans le système d'information de la société.

L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : Il a été constaté que la société, qui agissait en tant que sous-traitant pour les municipalités, n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour assurer la protection des données personnelles contre un accès non autorisé ou une divulgation. L'autorité a conclu que l'entreprise n'avait pas suffisamment respecté ses obligations en tant que sous-traitant, ce qui a conduit à l'incident de sécurité.

En conséquence, l’autorité a imposé une amende de 300 000 € à la société SIA "ZZ Dats".

Parallèlement, l'autorité a adressé des réprimandes aux municipalités lettones concernées par la fuite de données pour un manquement à leurs obligations de supervision.
Cette décision découle de la même enquête sur la violation de données impliquant leur sous-traitant.

L’autorité a en effet reproché aux municipalités:
* Obligation de supervision du sous-traitant article 28 du RGPD: Il a été reproché aux municipalités, en leur qualité de responsables de traitement, de ne pas avoir assuré une surveillance suffisante des activités de la société SIA "ZZ Dats".

En conséquence, l'autorité a prononcé des réprimandes à l'encontre des municipalités concernées.