La Cour d'appel islandaise (Landsréttur) a confirmé une décision de l'autorité de protection des données (Persónuvernd) sanctionnant la Direction de la Santé pour des failles de sécurité sur un portail de santé, tout en réduisant substantiellement l'amende initiale en application du principe de proportionnalité.

Faits et contexte

La Cour d'appel islandaise (Landsréttur) a publié un arrêt confirmant une décision de sanction de l'autorité de protection des données (Persónuvernd) à l'encontre de la Direction de la Santé, mais réduisant l'amende à 4 500 000 ISK (environ 30 000 €), pour des manquements à la sécurité des données sur le portail d'information "Heilsuvera".

L'affaire découle d'une décision de la Persónuvernd du 27 juin 2023, qui avait initialement sanctionné la Direction de la Santé d'une amende de 12 000 000 ISK pour des failles de sécurité dans les sections "messagerie" et "protection maternelle" du portail, lesquelles permettaient à des utilisateurs d'accéder aux données personnelles, y compris de santé, d'autres personnes.

Motifs de la décision

La Cour a confirmé le manquement suivant reproché par l'autorité de contrôle :

• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : La Cour a rappelé que les responsables du traitement doivent assurer un niveau de sécurité approprié des données, ce qui implique notamment de mettre en place des processus pour tester, analyser et évaluer régulièrement l'efficacité des mesures de sécurité. En l'espèce, il a été établi que de tels processus n'avaient pas été mis en œuvre de manière satisfaisante et qu'aucune évaluation de sécurité spécifique n'avait été réalisée lors de l'ajout de la section "protection maternelle" au portail. La Cour a jugé que la Direction de la Santé avait fait preuve de négligence en ne respectant pas ces obligations, qualifiant les manquements de graves en raison de la nature sensible des données de santé concernées.

Décision de l'autorité

En conséquence, la Cour d'appel a ramené l'amende imposée à la Direction de la Santé à 4 500 000 ISK (environ 30 000 €).

La juridiction a justifié cette réduction substantielle de l'amende (initialement fixée à 12 millions ISK par l'autorité, puis réduite à 8 millions en première instance) en s'appuyant sur le principe de proportionnalité. Elle a notamment pris en compte des facteurs modérateurs tels que l'absence de préjudice démontré pour les personnes concernées et la réaction rapide de l'organisme pour corriger les vulnérabilités dès leur découverte.

Enseignements

Cette décision rappelle que :

• L'obligation de sécurité des données implique la mise en œuvre de processus actifs et réguliers pour tester, analyser et évaluer l'efficacité des mesures techniques et organisationnelles.
• Toute évolution fonctionnelle majeure d'un traitement, en particulier lorsqu'elle concerne des données sensibles, doit faire l'objet d'une évaluation de sécurité dédiée avant sa mise en production.
• La coopération du responsable du traitement après la découverte d'une faille, notamment la rapidité de sa réaction pour y remédier, et l'absence de préjudice démontré pour les personnes concernées, sont des facteurs modérateurs essentiels pris en compte par les autorités et les juridictions pour déterminer le montant d'une amende.