L'autorité italienne de protection des données a sanctionné un éditeur de presse en ligne pour ne pas avoir notifié une violation de données et pour l'absence prolongée de politique de confidentialité sur son site, un fait établi par l'autorité grâce à l'utilisation d'archives du web.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a aujourd'hui publié une décision de sanction à l'encontre de l'entreprise individuelle Éditions Grandangle de Giuseppe Castaldo (comprenant le prononcé d'une amende de 2 075 €) pour des manquements en lien avec la notification d'une violation de données, la sécurité du traitement et la transparence de l'information.

L'affaire trouve son origine dans la plainte d'une personne concernant la persistance en ligne d'un article relatant sa disparition lorsqu'elle était mineure et l'absence de réponse à sa demande de suppression.

Motifs de la décision

• Obligation de notifier une violation de données à l'autorité de contrôle (article 33 du RGPD) : Le responsable du traitement n'a pas notifié à l'autorité une cyberattaque ayant compromis un compte de messagerie électronique de la rédaction. L'autorité a rejeté l'argument selon lequel le risque était improbable, estimant qu'un tel compte, surtout dans un contexte journalistique, contenait une quantité importante de données personnelles variées (documents d'identité, informations financières). En s'appuyant sur les considérants 75 et 76 du RGPD et sur les "Lignes directrices 9/2022 sur la notification des violations de données personnelles" du Comité Européen de la Protection des Données (CEPD), l'autorité a jugé que la nature et la combinaison des données exposées présentaient un risque non négligeable pour les droits et libertés des personnes, rendant la notification obligatoire.
• Obligation d'assurer la sécurité du traitement (article 5, paragraphe 1, point f) et article 32 du RGPD) : L'autorité a conclu que les mesures techniques et organisationnelles étaient insuffisantes avant l'incident. Le fait même que l'accès non autorisé ait eu lieu et que le responsable du traitement n'ait mis en œuvre des mesures de sécurité renforcées qu'après l'intervention de l'autorité démontre un manquement antérieur à l'obligation de garantir l'intégrité et la confidentialité des données.
• Obligation de fournir une information transparente (article 12, paragraphes 1 et 2, et article 13 du RGPD) : Le site internet de l'éditeur était dépourvu de politique de confidentialité. L'autorité a réfuté l'argument d'un "dysfonctionnement technique temporaire" en utilisant le service d'archives du web (WayBack Machine), qui a prouvé l'absence de toute information sur le traitement des données sur une période de cinq ans (2020-2025). Cette carence prolongée a constitué un obstacle substantiel au principe de transparence et à la capacité des personnes concernées d'exercer leurs droits.
• Obligation de responsabilité (article 5, paragraphe 2, article 24 et article 25 du RGPD) : L'ensemble des manquements constatés a conduit l'autorité à conclure à une négligence globale et à une violation du principe de responsabilité. Le responsable du traitement n'a pas été en mesure de démontrer sa conformité, manquant ainsi à ses obligations de protection des données dès la conception et par défaut.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 075 € à Éditions Grandangle de Giuseppe Castaldo.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision rappelle que :

• L'évaluation du risque d'une violation de données doit être objective et documentée ; l'accès non autorisé à une boîte de courriels, surtout dans un contexte journalistique, est peu susceptible de présenter un risque "improbable" justifiant une absence de notification à l'autorité.
• L'implémentation de mesures de sécurité renforcées uniquement après un incident ne décharge pas le responsable du traitement de sa responsabilité pour les manquements antérieurs ayant permis la survenance de cet incident.
• L'absence prolongée d'une politique de confidentialité constitue un manquement grave, et les autorités de contrôle peuvent utiliser des outils techniques, tels que les archives du web, pour vérifier la véracité des affirmations d'un responsable du traitement.
• La négligence globale dans la gestion de la conformité, démontrée par une accumulation de manquements (sécurité, transparence, notification), caractérise une violation du principe de responsabilité.