Cette affaire, confirmée en dernière instance par la justice polonaise, souligne l'importance pour un responsable de traitement de mettre en œuvre les mesures de sécurité qu'il a lui-même identifiées comme nécessaires dans son analyse de risque, et ce, avant la survenance d'un incident.

Faits et contexte

L'autorité polonaise de protection des données (Urząd Ochrony Danych Osobowych, UODO) a publié une décision de sanction, confirmée en dernière instance par la justice polonaise, à l'encontre du Commandant du Commandement Provincial de Mazovie des Corps de Travail Volontaires (OHP), comprenant le prononcé d'une amende de 15 000 PLN (environ 3 500 €) pour des manquements liés à la sécurité des données suite au vol d'un ordinateur professionnel.

L'affaire trouve son origine dans une enquête ouverte suite au vol d'un ordinateur portable professionnel contenant les données de trois personnes, dérobé dans un véhicule lors d'un déplacement.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que l'ordinateur portable volé n'était protégé que par un identifiant et un mot de passe, sans chiffrement des données. Or, l'analyse de risque menée par le responsable de traitement lui-même avait qualifié le risque de vol d'"élevé et inacceptable" et avait recommandé la mise en place d'un outil de chiffrement. Cette mesure n'ayant été déployée qu'après l'incident, l'UODO a conclu que le responsable de traitement n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, ni ne les avait régulièrement testées et évaluées. L'argument selon lequel l'ordinateur était protégé par un mot de passe et le véhicule par une alarme a été jugé insuffisant.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 15 000 PLN (environ 3 500 €) à l'encontre de l'organisme.

Enseignements

Cette décision, validée par les plus hautes juridictions administratives polonaises, rappelle que :

• Le fait de ne pas mettre en œuvre les mesures de sécurité identifiées comme nécessaires dans sa propre analyse de risque constitue un manquement, particulièrement lorsque le risque s'est matérialisé.
• La protection d'un ordinateur portable par un simple mot de passe, sans chiffrement du disque, n'est pas considérée comme une mesure de sécurité technique suffisante, surtout lorsque l'appareil est utilisé en situation de mobilité.
• Le respect des obligations légales, comme la notification des personnes concernées ou l'absence de violations antérieures, ne constitue pas une circonstance atténuante mais l'exécution normale des devoirs d'un responsable de traitement.