L'autorité roumaine sanctionne une banque pour un manquement à la sécurité des données, suite à l'accès non autorisé par un de ses employés aux informations bancaires d'un client, en dehors de ses attributions et à la demande d'un tiers.

Faits et contexte

L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) roumaine a publié une décision de sanction à l'encontre de la banque Banca Transilvania S.A., prononçant une amende de 26 172 lei (environ 5 000 €) pour des manquements à son obligation de sécurité des données.

L'enquête a été initiée suite à la plainte d'une personne physique qui contestait le traitement de ses données bancaires sans son accord.

Motifs de la décision

• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté qu'un employé de la banque avait accédé sans autorisation aux extraits de comptes du plaignant, en dehors de ses attributions et à la demande d'un tiers. Cet accès a concerné des données telles que le nom, le prénom, le numéro de compte bancaire, le type de compte, le code client, les données de transaction et le solde des comptes. L'autorité a estimé que le responsable du traitement n'avait pas mis en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, et notamment pour s'assurer que les employés agissant sous son autorité ne traitent les données que sur ses instructions. Cette carence a permis un accès illicite aux données de la personne concernée à des fins personnelles.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 26 172 lei (environ 5 000 €) à Banca Transilvania S.A.

En outre, l'autorité a ordonné à l'opérateur de mettre ses opérations de traitement en conformité avec le RGPD. Cette mesure corrective impose la mise en œuvre de mesures techniques et organisationnelles adéquates pour empêcher tout accès illégal aux données personnelles par les employés à des fins personnelles.

Enseignements

Cette décision rappelle que :

• La responsabilité de la sécurisation des données incombe au responsable du traitement, y compris en ce qui concerne les accès illicites commis par ses propres employés.
• Des mesures techniques et organisationnelles doivent être spécifiquement conçues pour s'assurer que les employés n'accèdent aux données personnelles que dans le cadre strict de leurs attributions et sur instruction du responsable du traitement.
• La gestion des habilitations et le contrôle des accès aux données des clients sont des composantes essentielles de l'obligation de sécurité, particulièrement dans le secteur bancaire.
• Un accès non autorisé, même par un membre du personnel interne agissant à des fins personnelles, constitue une violation de la sécurité des données imputable à l'organisation si les mesures préventives étaient insuffisantes.