Une gestion inadéquate des droits d'accès des employés, ayant permis à l'un d'eux de consulter sans autorisation les données bancaires de nombreux clients, a conduit l'autorité roumaine à sanctionner un établissement bancaire pour manquement à son obligation de sécurité.

Faits et contexte

L'Autorité Nationale de Surveillance du Traitement des Données à Caractère Personnel (ANSPDCP) roumaine a publié une décision de sanction à l'encontre de ING BANK NV AMSTERDAM - SUCCURSALE DE BUCAREST, comprenant le prononcé d'une amende de 26 735 lei (environ 5 000 €), pour des manquements en lien avec la sécurité des données personnelles.

L'affaire trouve son origine dans une notification de violation de données personnelles transmise par la banque elle-même, concernant un accès non autorisé aux données de ses clients par un de ses employés.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que l'établissement bancaire n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir la confidentialité des données et empêcher les accès non autorisés. En effet, une configuration et une limitation inadéquates des droits d'accès ont permis à un employé de consulter, en dehors de ses attributions de service, les données bancaires (codes client, soldes de comptes, revenus mensuels, informations sur les transactions) d'un nombre significatif de clients. L'autorité a ainsi conclu à un manquement à l'obligation de s'assurer que les employés agissant sous son autorité ne traitent les données que sur ses instructions, conformément aux paragraphes 1 points b) et d), 2 et 4 de l'article 32 du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 26 735 lei (environ 5 000 €) à ING BANK NV AMSTERDAM - SUCCURSALE DE BUCAREST.

En outre, l'autorité a ordonné à la banque de prendre plusieurs mesures correctives, notamment la vérification périodique du respect des procédures internes relatives à l'octroi et à l'utilisation des droits d'accès aux données des clients. Elle a également exigé la mise en place de formations régulières pour les employés sur leurs obligations, les risques associés au traitement et la nécessité de n'accéder qu'aux données strictement nécessaires à leurs fonctions pour garantir la confidentialité.

Enseignements

Cette décision rappelle que :

• La gestion des habilitations et des droits d'accès constitue une mesure de sécurité fondamentale qui doit être configurée de manière à limiter techniquement l'accès des employés aux seules données nécessaires à l'accomplissement de leurs missions.
• Le contrôle de la sécurité n'est pas un exercice ponctuel ; il incombe au responsable du traitement de vérifier périodiquement l'adéquation et le respect des procédures internes, en particulier celles encadrant les droits d'accès.
• La formation régulière des employés sur leurs obligations en matière de protection des données et sur les risques liés à un accès illégitime est une mesure organisationnelle essentielle pour garantir la confidentialité des données.