L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) a publié une décision de sanction à l'encontre de Continental Automotive Products SRL, comprenant le prononcé d'une amende de 15 000 €, pour des manquements liés à la minimisation et à la sécurité des données.Cette affaire débute par la notification d'une violation de données par l'entreprise elle-même, signalant la diffusion interne et répétée d'un fichier contenant des données médicales d'employés et d'anciens employés.

L’enquête menée par l’autorité a permis de constater :
* Obligation de minimisation des données et de responsabilité (article 5, paragraphe 1, point c) et paragraphe 2 du RGPD) : Un fichier tableur contenant des données issues des certificats médicaux d'employés et d'anciens employés a été distribué de manière répétée en interne. L'autorité a considéré que cette pratique constituait un manquement au principe de minimisation des données ainsi qu'à l'obligation de responsabilité du responsable du traitement.

* Obligation d'assurer la sécurité du traitement (article 32, paragraphe 1, point b) et paragraphe 2 du RGPD) : L'opérateur n'avait pas mis en œuvre des mesures techniques et organisationnelles suffisantes pour garantir la sécurité des données et la résilience des systèmes de traitement. Cette défaillance a permis un accès non autorisé aux données personnelles d'un nombre important d'employés et d'anciens salariés, démontrant un manque de mesures adéquates pour réduire le risque de divulgation.

En conséquence, l’autorité a imposé une amende de 15 000 € à Continental Automotive Products SRL.

En outre, l’autorité a ordonné à l'opérateur de mettre en œuvre une procédure technique et organisationnelle encadrant tous les traitements de données personnelles, incluant un processus de surveillance et de contrôle pour l'identification immédiate d'éventuels incidents de sécurité.