L'autorité espagnole de protection des données a sanctionné un centre de diagnostic médical pour des mesures de sécurité insuffisantes, notamment l'absence de système de détection précoce, ayant conduit à l'exfiltration et la publication en ligne de données de santé de 1 352 patients.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de ECG MÉDICA, S.L. comprenant le prononcé d'une amende de 18 000 € pour des manquements en lien avec la sécurité des données personnelles.

La procédure a été initiée suite à la notification par la société d'une violation de données personnelles, qui a conduit à l'exfiltration et à la publication en ligne de rapports médicaux.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que la société n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. La violation, qui s'est déroulée entre juin et juillet 2024, a entraîné l'exfiltration de données de 1 352 patients, incluant des données d'identification et de santé. L'enquête a révélé des carences en matière de mesures de sécurité proactives, notamment l'absence de systèmes d'alerte précoce qui auraient permis de détecter l'intrusion plus rapidement. La société n'a eu connaissance de l'incident qu'en juillet 2024 suite à l'alerte d'un tiers, et a découvert la publication en ligne de 25 rapports médicaux en avril 2025. Bien que l'autorité n'ait pas retenu de négligence particulière, en se référant aux Lignes directrices 04/2022 du Comité européen de la protection des données, elle a estimé que les mesures réactives prises après la découverte de l'incident ne suffisaient pas à démontrer une conformité préalable à l'obligation de sécurité.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 18 000 € à ECG MÉDICA, S.L.. Ce montant résulte d'une réduction de 40 % sur l'amende initiale de 30 000 €, accordée suite à la reconnaissance de responsabilité et au paiement volontaire par l'entreprise.

Enseignements

Cette décision rappelle que :

• La mise en place de mesures de sécurité réactives après une violation de données ne suffit pas à satisfaire aux exigences de l'article 32 du RGPD ; des mesures proactives, telles que des systèmes de détection précoce des intrusions, sont indispensables.
• L'absence de détection interne d'une intrusion sur une période prolongée est un indicateur d'une défaillance des mesures de sécurité techniques et organisationnelles.
• La responsabilité d'un organisme est accrue lorsque son activité principale implique le traitement à grande échelle de catégories particulières de données, comme les données de santé, ce qui est considéré comme un facteur aggravant.
• La reconnaissance de responsabilité et le paiement volontaire de l'amende peuvent conduire à une réduction substantielle de son montant, illustrant l'intérêt pour les organismes de coopérer avec l'autorité de contrôle.