Une notification de violation de données à la suite d'une cyberattaque a conduit l'autorité roumaine à sanctionner le responsable du traitement, non pas pour la violation elle-même, mais pour le défaut de mise en œuvre de mesures de sécurité techniques et organisationnelles appropriées, révélé par l'incident.

Faits et contexte

L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) roumaine a publié une décision de sanction à l'encontre de GEROCOSSEN S.R.L., comprenant le prononcé d'une amende de 5 000 €, pour des manquements en lien avec la sécurité des traitements de données.

L'affaire trouve son origine dans la notification par l'entreprise d'une violation de données personnelles consécutive à une attaque informatique, qui a entraîné une divulgation ou un accès non autorisé à des données d'identification et de contact.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que le responsable du traitement n'avait pas mis en œuvre des mesures techniques et organisationnelles adéquates pour garantir un niveau de sécurité adapté au risque. En particulier, l'enquête a révélé une incapacité à assurer la confidentialité et l'intégrité continues des systèmes et des services de traitement, en violation des dispositions de l'article 32, paragraphe 1, point b), et du paragraphe 2 du RGPD. La survenance de l'attaque et la violation de données qui en a résulté ont été considérées comme la preuve de cette défaillance structurelle en matière de sécurité.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 26 236,50 lei (5 000 €) à GEROCOSSEN S.R.L.

En outre, l'autorité a ordonné à l'entreprise de mettre en œuvre des systèmes de surveillance et de journalisation des accès à son infrastructure informatique. Ces mesures doivent inclure une période de conservation des journaux d'accès d'au moins 30 jours ainsi qu'un processus de sauvegarde de ces derniers.

Enseignements

Cette décision rappelle que :

• La notification d'une violation de données peut déclencher une enquête plus large sur la conformité globale des mesures de sécurité de l'organisme, au-delà de la gestion de l'incident lui-même.
• L'absence de systèmes de surveillance et de journalisation des accès aux systèmes d'information constitue un manquement à l'obligation d'assurer une sécurité appropriée au risque.
• La capacité à garantir la confidentialité et l'intégrité "continues" des systèmes, comme l'exige le RGPD, implique la mise en place de mesures proactives de détection et d'analyse des incidents.
• La matérialisation d'un risque de sécurité par une attaque réussie peut être retenue par une autorité comme la preuve d'une défaillance dans la mise en œuvre de mesures techniques et organisationnelles appropriées.