L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) roumaine a aujourd'hui publié une décision de sanction à l'encontre de la Compagnie Nationale de la Poste Roumaine, comprenant le prononcé d'une amende de 26 026 lei (5 000 €) pour des manquements en lien avec la sécurité du traitement.

Faits et contexte

L'affaire a débuté par une notification de violation de données émanant de la Direction Générale de l'Assistance Sociale de Constanța, qui signalait que des courriers expédiés par son intermédiaire n'avaient pas été reçus par leurs destinataires.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que la Compagnie Nationale de la Poste Roumaine, en sa qualité de sous-traitant, n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, en violation des articles 32, paragraphe 1, point b), 32, paragraphe 2, et 32, paragraphe 4, du RGPD. Cette défaillance a entraîné la perte ou la destruction d'envois postaux pour un grand nombre de personnes concernées. Les courriers perdus contenaient diverses données personnelles, notamment des noms, prénoms, adresses, des informations sur des obligations fiscales, la situation matérielle, la commission d'infractions, ainsi que des rapports d'enquêtes sociales.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 26 026 lei (5 000 €) à la Compagnie Nationale de la Poste Roumaine.

En outre, l'autorité a ordonné à la société sanctionnée de réviser et de mettre à jour les mesures techniques et organisationnelles mises en œuvre. Cette mise à jour doit découler d'une évaluation des risques pour les droits et libertés des personnes et inclure les procédures de travail relatives à la protection des données, afin de prévenir toute perte, destruction ou détérioration accidentelle.

Enseignements

Cette décision rappelle que :

• Un sous-traitant est directement responsable de la mise en œuvre de mesures techniques et organisationnelles appropriées pour garantir la sécurité des données qui lui sont confiées.
• La sécurité des données personnelles s'étend à la sécurité physique des supports ; la perte ou la destruction de documents papier constitue une violation de données au sens de l'article 32 du RGPD.
• L'adéquation des mesures de sécurité doit être évaluée au regard des risques spécifiques présentés par le traitement, notamment la nature et la sensibilité des données traitées (ici, des données relatives à l'assistance sociale et à des infractions).
• Le sous-traitant doit s'assurer que toute personne agissant sous son autorité et ayant accès aux données ne les traite que sur instruction et dans le respect des procédures de sécurité établies, engageant sa responsabilité en cas de défaillance.