Le tribunal de première instance estonien a confirmé la sanction de 3 000 000 € infligée à un responsable de traitement pour des mesures de sécurité jugées insuffisantes au regard du volume et de la sensibilité des données traitées, notamment des données de santé.

Faits et contexte

Le tribunal du comté de Harju a confirmé, par une décision du 2 septembre 2026, la sanction prononcée par l'Autorité estonienne de protection des données (Andmekaitse Inspektsioon - AKI) à l'encontre de la société Allium UPI OÜ, comprenant une amende de 3 000 000 €, pour des manquements liés à la sécurité des données personnelles.

L'affaire fait suite à un recours formé par Allium UPI OÜ contre la décision de l'AKI, qui avait sanctionné la société après qu'une cyberattaque a permis le téléchargement illégal des données des titulaires de la carte de fidélité "Apotheka".

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : Le tribunal a estimé que la responsabilité d'Allium UPI OÜ, en tant que responsable du traitement du programme de fidélité, était engagée non pas seulement en raison de la cyberattaque subie, mais surtout du fait de l'inadéquation de ses mesures techniques et organisationnelles. Il a été jugé que ces mesures n'étaient pas à la hauteur du volume et de la nature sensible des données traitées, qui comprenaient des données de santé. Le tribunal a relevé des défaillances spécifiques, notamment dans la protection des comptes d'administration, la surveillance de la sécurité et les modalités de conservation des copies de sauvegarde.

Décision de l'autorité

En conséquence, le tribunal a jugé l'amende de 3 000 000 € imposée par l'AKI à Allium UPI OÜ comme étant justifiée et proportionnée. Le tribunal a également mis les frais de procédure à la charge de la société.

Enseignements

Cette décision confirme que :

• L'adéquation des mesures techniques et organisationnelles de sécurité doit être rigoureusement évaluée en fonction du volume et de la sensibilité des données traitées, particulièrement lorsqu'il s'agit de données de santé à grande échelle.
• La survenance d'une cyberattaque ne constitue pas en soi une cause d'exonération de responsabilité ; l'analyse de l'autorité et des tribunaux se concentre sur le caractère suffisant des mesures de sécurité mises en place avant l'incident.
• Des défaillances dans des domaines fondamentaux de la sécurité, tels que la gestion des comptes à privilèges, la surveillance des systèmes et la gestion des sauvegardes, sont des éléments déterminants dans l'appréciation d'un manquement à l'obligation de sécurité.