L'autorité roumaine de protection des données (ANSPDCP) a sanctionné une entreprise pour ne pas avoir mis en œuvre des mesures de sécurité adéquates, ce qui a conduit à une violation de données à la suite d'une cyberattaque. La décision souligne l'importance de tester régulièrement l'efficacité des mesures techniques et organisationnelles et d'assurer la confidentialité des systèmes de traitement.

Faits et contexte

L'autorité roumaine de protection des données (ANSPDCP) a aujourd'hui publié une décision de sanction à l'encontre de GLOBAL CUSTOMER CARE SERVICES S.R.L., comprenant le prononcé d'une amende de 5 000 € (26 294 lei), pour des manquements en lien avec la sécurité du traitement des données personnelles.

L'affaire a débuté par la notification d'une violation de données par l'entreprise elle-même, consécutive à une cyberattaque ayant affecté la confidentialité et la disponibilité de ses systèmes.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'enquête, initiée suite à la notification de la violation, a révélé qu'une cyberattaque avait permis un accès non autorisé aux données personnelles d'un nombre important de personnes, incluant des employés et d'anciens employés. Les données compromises comprenaient des informations d'identification, de contact, salariales, bancaires et professionnelles. L'autorité a estimé que le responsable du traitement n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Il a été spécifiquement reproché à l'entreprise de ne pas avoir assuré la capacité de garantir la confidentialité des systèmes de traitement, et de ne pas disposer d'un processus pour tester, analyser et évaluer régulièrement l'efficacité de ses mesures de sécurité.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 5 000 € (26 294 lei) à GLOBAL CUSTOMER CARE SERVICES S.R.L.

En outre, l'autorité a ordonné à l'entreprise de mettre en œuvre des systèmes de surveillance et de journalisation des accès à son infrastructure informatique. Ces mesures doivent inclure une période de conservation des journaux d'activité d'au moins 30 jours ainsi qu'un processus de sauvegarde de ces derniers.

Enseignements

Cette décision rappelle que :

• La sécurité des données ne se limite pas à la mise en place de mesures, mais exige l'instauration d'un processus actif et régulier pour tester, analyser et évaluer leur efficacité, conformément à l'article 32, paragraphe 1, point d) du RGPD.
• La mise en œuvre de systèmes de surveillance et de journalisation des accès, avec une politique de conservation et de sauvegarde adéquate, constitue une mesure technique fondamentale pour garantir la sécurité et permettre l'analyse des incidents.
• La notification d'une violation de données déclenche une enquête de l'autorité de contrôle qui portera non seulement sur la gestion de l'incident lui-même, mais aussi sur la pertinence des mesures de sécurité préexistantes qui ont failli.