L'autorité espagnole sanctionne une entreprise américaine pour des mesures de sécurité insuffisantes face à une attaque par bourrage d'identifiants et pour une notification tardive de la violation de données qui en a résulté.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de 23ANDME, INC (comprenant le prononcé d'une amende de 2 400 000 €) pour des manquements en lien avec la sécurité des données et la notification d'une violation de données personnelles.

L'affaire trouve son origine dans la notification par l'entreprise d'une violation de données résultant d'une cyberattaque ayant exposé des données sensibles, notamment génétiques et d'origine ethnique, concernant 2 642 résidents en Espagne.

Motifs de la décision

L'autorité a retenu deux manquements à l'encontre du responsable du traitement :

• Obligation d'assurer l'intégrité et la confidentialité des données personnelles (article 5, paragraphe 1, point f) du RGPD) : L'autorité a estimé que les mesures techniques et organisationnelles mises en œuvre par 23ANDME n'étaient pas appropriées pour garantir un niveau de sécurité adapté au risque élevé présenté par le traitement de données génétiques, de santé et d'origine ethnique. La violation a été rendue possible par une attaque de type "bourrage d'identifiants", exploitant la réutilisation par les utilisateurs de mots de passe compromis sur d'autres sites. L'autorité a relevé que l'entreprise n'imposait aucune politique de mots de passe robustes, que l'authentification à facteurs multiples était seulement optionnelle, et qu'aucun contrôle ou limite supplémentaire n'était en place pour l'accès ou le téléchargement de données sensibles une fois la connexion établie.
• Obligation de notifier une violation de données à l'autorité de contrôle (article 33 du RGPD) : L'entreprise a détecté la violation le 1er octobre 2023 mais n'a notifié l'AEPD que le 17 octobre 2023, dépassant largement le délai de 72 heures. L'autorité a rappelé, en s'appuyant sur les considérants 85 et 87 du RGPD, que cette notification doit être effectuée sans retard injustifié. L'argument de l'entreprise, selon lequel elle devait d'abord déterminer ses obligations dans 62 juridictions différentes, a été rejeté et qualifié de manque de diligence, en citant également les Lignes directrices 9/2022 du Comité Européen de la Protection des Données (CEPD) sur la notification des violations de données personnelles.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 400 000 € à 23ANDME, INC., se décomposant en 2 000 000 € pour la violation de l'article 5, paragraphe 1, point f) du RGPD et 400 000 € pour la violation de l'article 33 du RGPD.

Enseignements

Cette décision rappelle que :

• Le caractère facultatif de l'authentification à facteurs multiples est jugé insuffisant pour sécuriser des comptes donnant accès à des données particulièrement sensibles.
• L'absence d'une politique de mots de passe imposant des exigences de robustesse et de renouvellement périodique constitue une défaillance en matière de sécurité.
• Le fait de ne pas mettre en œuvre des contrôles additionnels (par exemple, des limitations ou des alertes) pour l'accès ou le téléchargement de données sensibles après l'authentification initiale affaiblit la sécurité globale.
• Le délai de 72 heures pour notifier une violation est strict, et la nécessité d'analyser les obligations légales dans plusieurs juridictions ne justifie pas un retard.
• Un responsable non établi dans l'Union qui propose des services à des personnes dans l'Union doit se préparer à respecter ses obligations au titre du RGPD, y compris celle de notification, sans délai.