L'autorité finlandaise de protection des données a publié une décision de sanction à l'encontre d'Aktia, comprenant le prononcé d'une amende de 830 000 €, pour des manquements en lien avec la sécurité de son service d'identification électronique forte.
Cette affaire débute par la notification d'une violation de données par Aktia elle-même, relative à une vulnérabilité affectant son service d'identification.

L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : Une vulnérabilité dans le service d'identification électronique forte permettait à un utilisateur d'accéder sans autorisation aux données personnelles d'autres utilisateurs, notamment leur nom, leur code d'identité personnel et leurs coordonnées. L'autorité a estimé qu'Aktia n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment en ne réalisant pas de tests de sécurité suffisants avant le déploiement du service.

* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : En raison des défaillances de sécurité susmentionnées, la confidentialité des données personnelles n'a pas été assurée. L'autorité a conclu que le traitement n'a pas été effectué de manière à garantir une sécurité appropriée des données, entraînant une violation de ce principe fondamental.

En conséquence, l’autorité a imposé une amende de 830 000 € à Aktia.
En outre, l’autorité a ordonné à Aktia de mettre ses opérations de traitement en conformité avec les exigences de sécurité du RGPD, notamment en améliorant ses processus de test et de développement.