Sanction du gestionnaire de centre d'appels d'urgence MK PLAN 21, S.A. par l'autorité espagnole pour manquements à la sécurité des données et à la sous-traitance
L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de la société MK PLAN 21, S.A., comprenant le prononcé d'une amende totale de 60 702,22 €, pour des manquements liés à la sécurité et au traitement de données de santé dans le cadre de la gestion d'un centre d'appels d'urgence. Cette affaire débute par une plainte déposée par quatorze travailleurs, signalant que le personnel en formation accédait à la base de données opérationnelle avec des identifiants génériques, consultant ainsi des incidents réels en cours avant même d'être sous contrat.
L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir la sécurité du traitement (article 32 du RGPD) : La société, agissant en tant que sous-traitant pour le gouvernement régional d'Andalousie dans la gestion d'un centre d'appels d'urgence, n'avait pas mis en place les mesures techniques et organisationnelles appropriées. L'enquête a révélé l'utilisation d'identifiants génériques permettant au personnel en formation d'accéder à des données réelles, l'absence de politique de changement de mot de passe, et des mots de passe identiques aux noms d'utilisateur. De plus, le document de sécurité requis n'a pas été fourni.
* Obligation d'encadrer la relation de sous-traitance et de disposer d'une base légale pour le traitement de données sensibles (article 9 et article 28 du RGPD) : Il a été constaté que la société traitait des données de santé des appelants du service d'urgence sans disposer d'un contrat de sous-traitance conforme. Bien qu'un contrat existait avec le gouvernement régional, celui-ci ne contenait pas les garanties exigées par la loi pour encadrer le traitement de données pour le compte d'un tiers, ce qui rendait illicite le traitement de ces données particulièrement protégées.
En conséquence, l’autorité a imposé une amende de 60 702,22 € à MK PLAN 21, S.A., se décomposant en 60 101,21 € pour l'infraction très grave et 601,01 € pour l'infraction grave.
En outre, l’autorité a ordonné la publication de sa décision.
L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir la sécurité du traitement (article 32 du RGPD) : La société, agissant en tant que sous-traitant pour le gouvernement régional d'Andalousie dans la gestion d'un centre d'appels d'urgence, n'avait pas mis en place les mesures techniques et organisationnelles appropriées. L'enquête a révélé l'utilisation d'identifiants génériques permettant au personnel en formation d'accéder à des données réelles, l'absence de politique de changement de mot de passe, et des mots de passe identiques aux noms d'utilisateur. De plus, le document de sécurité requis n'a pas été fourni.
* Obligation d'encadrer la relation de sous-traitance et de disposer d'une base légale pour le traitement de données sensibles (article 9 et article 28 du RGPD) : Il a été constaté que la société traitait des données de santé des appelants du service d'urgence sans disposer d'un contrat de sous-traitance conforme. Bien qu'un contrat existait avec le gouvernement régional, celui-ci ne contenait pas les garanties exigées par la loi pour encadrer le traitement de données pour le compte d'un tiers, ce qui rendait illicite le traitement de ces données particulièrement protégées.
En conséquence, l’autorité a imposé une amende de 60 702,22 € à MK PLAN 21, S.A., se décomposant en 60 101,21 € pour l'infraction très grave et 601,01 € pour l'infraction grave.
En outre, l’autorité a ordonné la publication de sa décision.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire