Une société de crédit a été sanctionnée pour ne pas avoir mis en œuvre de mesures de sécurité adéquates, notamment en n'ayant pas testé et évalué régulièrement leur efficacité, ce qui a conduit à une violation de données massive suite à une cyberattaque.

Faits et contexte

L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) roumaine a publié une décision de sanction à l'encontre de HORA CREDIT IFN S.A., comprenant le prononcé d'une amende de 53 370 lei (environ 10 000 €), pour des manquements liés à la sécurité des données.

L'affaire trouve son origine dans la notification d'une violation de données à caractère personnel effectuée par la société elle-même, conformément à l'article 33 du RGPD, suite à une cyberattaque.

Motifs de la décision

• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté qu'une cyberattaque avait entraîné un accès non autorisé aux données personnelles d'un très grand nombre de personnes (clients, employés, collaborateurs, actuels et anciens), affectant leur confidentialité et leur intégrité. Elle a estimé que cette situation résultait de l'absence de mesures techniques et organisationnelles appropriées de la part du responsable du traitement. Plus précisément, celui-ci n'avait pas mis en place un processus de test, d'évaluation et d'appréciation périodique de l'efficacité de ses mesures de sécurité, manquant ainsi à son obligation d'assurer la confidentialité, l'intégrité, la disponibilité et la résilience continues des systèmes et des services de traitement.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 53 370 lei (environ 10 000 €) à HORA CREDIT IFN S.A.

Enseignements

Cette décision rappelle que :

• La survenance d'une violation de données résultant d'une cyberattaque peut constituer un indicateur d'un manquement préalable à l'obligation de mettre en œuvre des mesures de sécurité appropriées.
• La conformité à l'obligation de sécurité ne se limite pas à la mise en place de mesures techniques et organisationnelles, mais impose également d'établir un processus régulier pour tester, évaluer et apprécier leur efficacité.
• La protection des systèmes d'information doit couvrir l'ensemble du périmètre de traitement, incluant non seulement les bases de données clients mais aussi les documents opérationnels, la correspondance électronique et les données relatives aux ressources humaines.