L'autorité espagnole sanctionne FUDEN et SATSE pour une violation de données causée par un ransomware : 15 000 € d'amende
L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de la Fondation pour le développement des soins infirmiers (FUDEN) et du Syndicat des soins infirmiers (SATSE), comprenant le prononcé d'une amende totale de 15 000 €, pour des manquements en lien avec la sécurité des données et la gestion de leur responsabilité conjointe suite à une cyberattaque.
Cette affaire débute par la notification d'une violation de données par les deux entités, suivie par le dépôt de 156 réclamations relatives à un rançongiciel ayant affecté les données personnelles des plaignants.
L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a relevé que les mesures de sécurité mises en œuvre avant l'incident étaient insuffisantes pour protéger les données contre une cyberattaque par rançongiciel. L'enquête a démontré que l'attaque, menée par des attaques par force brute sur des mots de passe de réseau privé virtuel (VPN), a entraîné le chiffrement et l'exfiltration de données personnelles d'environ 198 000 professionnels, dont près de 23 000 copies de documents d'identité. Cette perte de contrôle a constitué une violation de la confidentialité et de la disponibilité des données.
* Obligations des responsables conjoints du traitement (article 26 du RGPD) : Bien que FUDEN et SATSE aient formalisé leur relation de responsabilité conjointe, l'accord correspondant ne définissait pas de manière transparente et précise leurs fonctions et responsabilités respectives. De plus, les aspects essentiels de cet accord n'ont pas été mis à la disposition des personnes concernées, qui n'étaient pas toujours informées de l'implication de SATSE dans le traitement de leurs données, notamment sur les formulaires de collecte.
En conséquence, l’autorité a imposé une amende totale de 15 000 € aux deux entités. Ce montant a été réduit à 9 000 € suite à la reconnaissance de la responsabilité et au paiement volontaire, appliquant deux réductions de 20% chacune.
En outre, l’autorité a ordonné aux deux entités d'adopter, dans un délai de trois mois, les mesures correctives nécessaires pour formaliser leur accord de responsabilité conjointe et mettre en conformité l'ensemble de leur documentation.
Cette affaire débute par la notification d'une violation de données par les deux entités, suivie par le dépôt de 156 réclamations relatives à un rançongiciel ayant affecté les données personnelles des plaignants.
L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a relevé que les mesures de sécurité mises en œuvre avant l'incident étaient insuffisantes pour protéger les données contre une cyberattaque par rançongiciel. L'enquête a démontré que l'attaque, menée par des attaques par force brute sur des mots de passe de réseau privé virtuel (VPN), a entraîné le chiffrement et l'exfiltration de données personnelles d'environ 198 000 professionnels, dont près de 23 000 copies de documents d'identité. Cette perte de contrôle a constitué une violation de la confidentialité et de la disponibilité des données.
* Obligations des responsables conjoints du traitement (article 26 du RGPD) : Bien que FUDEN et SATSE aient formalisé leur relation de responsabilité conjointe, l'accord correspondant ne définissait pas de manière transparente et précise leurs fonctions et responsabilités respectives. De plus, les aspects essentiels de cet accord n'ont pas été mis à la disposition des personnes concernées, qui n'étaient pas toujours informées de l'implication de SATSE dans le traitement de leurs données, notamment sur les formulaires de collecte.
En conséquence, l’autorité a imposé une amende totale de 15 000 € aux deux entités. Ce montant a été réduit à 9 000 € suite à la reconnaissance de la responsabilité et au paiement volontaire, appliquant deux réductions de 20% chacune.
En outre, l’autorité a ordonné aux deux entités d'adopter, dans un délai de trois mois, les mesures correctives nécessaires pour formaliser leur accord de responsabilité conjointe et mettre en conformité l'ensemble de leur documentation.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire