L'autorité espagnole a infligé une sanction de 675 000 € à un fournisseur d'énergie pour de graves manquements à la sécurité, notamment pour avoir autorisé l'utilisation d'un compte partagé par 120 employés d'un sous-traitant et pour une mauvaise configuration des droits d'accès ayant exposé les données de l'ensemble de sa clientèle.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de HOLALUZ-CLIDOM, S.A. (comprenant le prononcé d'une amende de 675 000 €) pour des manquements en lien avec la sécurité du traitement et le principe de confidentialité.

L'affaire trouve son origine dans la notification d'une violation de données par la société les 26 et 27 octobre 2022, suivie de deux plaintes de personnes concernées par une fuite de leurs données personnelles.

Motifs de la décision

• Obligation de garantir l'intégrité et la confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté que la confidentialité des données personnelles d'environ 31 000 personnes avait été compromise. La culpabilité de la société a été établie en raison d'une configuration erronée des droits d'accès attribués à son sous-traitant, ***EMPRESA.2. Le compte utilisateur mis à disposition disposait de rôles lui permettant d'accéder à la totalité de la clientèle de HOLALUZ, et non uniquement au portefeuille de clients qu'il gérait. L'autorité considère que cette mise en œuvre défectueuse des mesures organisationnelles, qualifiée d'erreur humaine et ponctuelle par la société, est la cause directe de la violation de confidentialité, rappelant que la simple conception de mesures de sécurité ne suffit pas sans leur implantation et leur utilisation diligentes.
• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a relevé plusieurs défaillances de sécurité. D'une part, les applications concernées étaient publiquement accessibles sur internet sans restriction d'accès par adresse IP, ce qui a permis une connexion depuis un pays où la société n'exerce aucune activité. D'autre part, et de manière jugée particulièrement grave, la société a permis et avait connaissance de l'utilisation d'un compte unique partagé par environ 120 employés de son sous-traitant. Cette pratique, qualifiée de "grave omission", rend impossible toute traçabilité des actions et augmente considérablement les risques pour la sécurité des données. Enfin, l'absence de politique de caducité des mots de passe a également été retenue comme une mesure de sécurité manquante.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 675 000 € à HOLALUZ-CLIDOM, S.A., se décomposant en 400 000 € pour la violation de l'article 5, paragraphe 1, point f) du RGPD et 275 000 € pour la violation de l'article 32 du RGPD.

En outre, l'autorité a ordonné à la société d'adopter, dans un délai de trois mois, les mesures techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles qu'elle traite.

Enseignements

Cette décision rappelle que :

• L'utilisation d'un compte utilisateur unique partagé par de nombreux employés, en particulier ceux d'un sous-traitant, constitue une grave défaillance de sécurité qui empêche toute traçabilité des accès et engage la responsabilité du responsable du traitement.
• La configuration des droits d'accès d'un sous-traitant doit être strictement limitée au principe du moindre privilège ; lui accorder des droits d'accès à l'ensemble de la base de données clients, au-delà de son périmètre d'intervention, constitue un manquement au principe de confidentialité.
• L'existence d'une procédure pénale à l'encontre de l'auteur d'une cyberattaque n'entraîne pas la suspension de la procédure de sanction administrative contre le responsable du traitement, car le sujet (l'attaquant contre le responsable du traitement) et le fondement juridique (pénal contre administratif) ne sont pas identiques.