Une notification de violation de données a conduit l'autorité roumaine à sanctionner un responsable de traitement pour ne pas avoir mis en œuvre des mesures de sécurité de base, telles que l'authentification multifacteur et l'usage d'un réseau privé virtuel pour les accès externes, afin de prévenir un accès non autorisé à ses systèmes.

Faits et contexte

L'Autorité nationale de surveillance du traitement des données à caractère personnel (ANSPDCP) a publié une décision de sanction à l'encontre d'Auchan România S.A., comprenant le prononcé d'une amende de 8 000 € (41 908 lei), pour des manquements à la sécurité des traitements.

L'enquête a été initiée suite à une notification de violation de données à caractère personnel transmise par l'entreprise elle-même, concernant une cyberattaque.

Motifs de la décision

• Obligation de sécurité du traitement (article 32 du RGPD) : L'autorité a constaté qu'une cyberattaque visant le compte d'un administrateur avait entraîné l'accès et la divulgation non autorisés des données d'un nombre important d'utilisateurs internes (identifiant, nom, prénom, adresse électronique et mot de passe). Elle a estimé que cette violation de sécurité résultait de l'absence de mesures techniques et organisationnelles adéquates avant l'incident. En particulier, l'entreprise n'avait pas mis en œuvre de règles spécifiques pour sécuriser l'accès à ses équipements de stockage en réseau, manquant ainsi à son obligation d'assurer la confidentialité des systèmes et des services de traitement, en violation de l'article 32, paragraphe 1, point b) et paragraphe 2 du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 8 000 € (41 908 lei) à Auchan România S.A.

En outre, l'autorité a ordonné à l'entreprise de mettre en œuvre des règles techniques et organisationnelles pour que l'accès à tous ses équipements informatiques s'effectue exclusivement depuis son réseau interne. Pour tout accès externe jugé nécessaire, celui-ci doit être sécurisé au minimum par l'utilisation simultanée d'un réseau privé virtuel (RPV) et d'une authentification multifacteur (AMF).

Enseignements

Cette décision rappelle que :

• La simple notification d'une violation de données ne suffit pas ; un responsable de traitement doit démontrer avoir mis en place des mesures de sécurité préventives et adéquates pour éviter la sanction.
• L'accès aux systèmes d'information contenant des données personnelles depuis un réseau externe doit être systématiquement sécurisé par des mesures robustes, telles que la combinaison d'un réseau privé virtuel (RPV) et d'une authentification multifacteur (AMF).
• La sécurisation des comptes à privilèges élevés, tels que les comptes administrateur, constitue un point de vigilance essentiel et doit faire l'objet de mesures de protection renforcées.