L'autorité espagnole de protection des données (AEPD) a sanctionné la société GIANTS GAMING ESPORTS, S.L. pour l'exposition publique d'un fichier contenant les données de plus de 80 000 personnes et pour sa réaction tardive à la suite d'une alerte, qualifiée de négligence grave, prononçant une amende de 6 000 €, ramenée à 4 800 € après paiement volontaire.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de GIANTS GAMING ESPORTS, S.L. (comprenant le prononcé d'une amende de 6 000 €) pour des manquements en lien avec la sécurité du traitement.

L'affaire trouve son origine dans une plainte du 6 juillet 2023, signalant l'exposition publique d'un fichier contenant les données personnelles de plus de 80 000 personnes.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté qu'un fichier contenant les données de 80 581 personnes (adresse électronique, nom, prénom, numéro de téléphone, adresse IP, données de localisation, sexe) était librement accessible et téléchargeable via une adresse internet. Bien que l'entreprise ait été alertée de cette fuite le 28 juin 2023, l'autorité a pu vérifier que le fichier était toujours accessible le 13 juillet 2023. L'autorité a qualifié de "négligence grave" le fait que l'entreprise n'ait pas procédé aux vérifications nécessaires et n'ait pas retiré le fichier immédiatement après l'alerte, laissant les données exposées sur internet pendant au moins 23 jours (du 28 juin au 21 juillet 2023). L'autorité a conclu que l'absence de mesures techniques et organisationnelles appropriées pour empêcher une telle exposition, résultant d'une erreur de configuration interne, et la lenteur de la réaction constituaient une violation de l'obligation de sécurité, en se référant notamment aux considérants 74 et 87 du RGPD et aux Lignes directrices 9/2022 du Comité Européen de la Protection des Données (CEPD).

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 6 000 € à GIANTS GAMING ESPORTS, S.L. La société a procédé à un paiement volontaire, bénéficiant d'une réduction de 20 %, ramenant le montant final à 4 800 €.

Enseignements

Cette décision rappelle que :

• La réactivité à la suite d'une alerte sur une potentielle violation de données est un élément clé de l'obligation de sécurité. Un délai de plusieurs semaines pour enquêter et contenir une fuite de données avérée peut être qualifié de négligence grave et constituer un facteur aggravant.
• L'obligation de sécurité de l'article 32 du RGPD implique non seulement de mettre en place des mesures préventives pour éviter les erreurs humaines (telle qu'une mauvaise configuration des permissions d'accès), mais aussi des mesures de détection et de correction rapides pour remédier aux incidents.
• Pour déterminer le montant d'une amende, les autorités de contrôle se réfèrent au chiffre d'affaires de l'exercice financier précédant la date de leur décision, conformément aux Lignes directrices 04/2022 du CEPD.