L'autorité espagnole de protection des données a déclaré une infraction à l'encontre du Conseil de l'environnement, du territoire et du logement de la Junte de Galice pour des manquements graves en matière de sécurité des données personnelles ayant conduit à une violation de données d'ampleur.

Faits et contexte

L'affaire trouve son origine dans la notification d'une violation de données personnelles effectuée par le Conseil le 20 septembre 2023, suite à une alerte émise par le Centre cryptologique national (CCN) les 13 et 14 septembre 2023 concernant des consultations massives et suspectes.

Motifs de la décision

• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté qu'une violation de données, survenue entre le 8 et le 22 septembre 2023, a permis l'exfiltration de plus de 40 000 enregistrements suite à l'usurpation des identifiants de sept utilisateurs légitimes. Les données compromises comprenaient des informations d'identification, des coordonnées, des données relatives à des licences et polices d'assurance, ainsi que des documents numérisés tels que des cartes d'identité. L'autorité a conclu que le Conseil n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Elle a relevé l'absence de politique d'expiration ou de modification des mots de passe, l'inexistence d'un système d'authentification à deux facteurs, une gestion défaillante des profils inactifs et l'insuffisance des mesures de détection des incidents, ce qui a permis un accès non autorisé prolongé et a constitué une violation du principe de confidentialité.

Décision de l'autorité

En conséquence, l'autorité a déclaré que le Conseil de l'environnement, du territoire et du logement de la Junte de Galice a commis une infraction à l'article 5, paragraphe 1, point f) du RGPD. Conformément à la législation espagnole (article 77, paragraphe 2, de la Loi Organique 3/2018), qui prévoit la possibilité de ne pas imposer de sanction pécuniaire aux administrations publiques, aucune amende n'a été prononcée.

En outre, l'autorité a ordonné que sa décision soit communiquée au Défenseur du Peuple.

Enseignements

Cette décision confirme / précise / rappelle que :

• L'absence d'un système d'authentification à facteurs multiples pour accéder à des systèmes d'information traitant un volume important de données personnelles est considérée comme une mesure de sécurité insuffisante.
• Les organismes doivent disposer de mécanismes de surveillance et de détection proactifs pour identifier les activités anormales, telles que des consultations massives depuis des adresses IP publiques, afin de réagir rapidement à un incident de sécurité.
• La mise en place de politiques de base en matière de sécurité informatique, comme la gestion du cycle de vie des mots de passe et la désactivation des comptes inactifs, est une exigence fondamentale pour assurer la confidentialité des données.
• Les mesures correctrices mises en œuvre après la découverte d'une violation, bien que prises en compte positivement par l'autorité, ne suffisent pas à exonérer le responsable de traitement de sa responsabilité pour l'infraction déjà constituée.
• Les entités publiques, même si elles peuvent être exemptées de sanctions pécuniaires dans certains États membres, sont tenues de respecter les mêmes obligations de sécurité que les entités privées et peuvent faire l'objet d'une déclaration formelle d'infraction.