Sanction d'un million d'euros infligée à Mobius Solutions Ltd par la CNIL pour ne pas avoir supprimé des données à la fin de son contrat avec Deezer, ce qui a abouti à une violation
L'autorité de protection des données française (Commission Nationale de l'Informatique et des Libertés, CNIL) a publié une décision de sanction à l'encontre de la société MOBIUS SOLUTIONS LTD, comprenant le prononcé d'une amende de 1 000 000 €, pour des manquements à ses obligations de sous-traitant dans le cadre d'une violation de données concernant les utilisateurs de la société DEEZER. Cette affaire débute par une notification de violation de données de la part de la société DEEZER en novembre 2022, signalant la mise en ligne de données de ses utilisateurs sur le darknet et l'implication de son ancien sous-traitant, la société MOBIUS SOLUTIONS LTD.
L’enquête menée par l’autorité a permis de constater :
* Obligation pour le sous-traitant de supprimer les données à la fin de la relation contractuelle (article 28, paragraphe 3, point g du RGPD) : La société a conservé une copie des données de plus de 46 millions d'utilisateurs de DEEZER après la fin du contrat, alors qu'elle était tenue de les supprimer. Bien que l'entreprise ait attribué cette copie à trois de ses salariés agissant à son insu, l'autorité a retenu sa responsabilité, les données étant stockées sur un de ses serveurs avec celles d'autres clients, ce qui a engendré un risque pour la sécurité des données.
* Obligation pour le sous-traitant de respecter les instructions du responsable de traitement (article 29 du RGPD) : La société a copié et utilisé les données des utilisateurs de DEEZER pour améliorer les performances de ses propres services, notamment sa plateforme de campagnes publicitaires personnalisées. L'autorité a considéré qu'aucune instruction du responsable de traitement n'autorisait la société à utiliser ces données pour une telle finalité.
* Obligation de tenir un registre des activités de traitement (article 30 du RGPD) : En sa qualité de sous-traitant, la société MOBIUS SOLUTIONS LTD n'a pas tenu de registre de ses activités de traitement pour le compte de ses clients, manquant ainsi à une obligation qui lui incombait.
En conséquence, l’autorité a imposé une amende de 1 000 000 € à la société MOBIUS SOLUTIONS LTD.
En outre, l’autorité a ordonné la publication de sa décision.
Plus d'informations dans notre fiche dédiée !
L’enquête menée par l’autorité a permis de constater :
* Obligation pour le sous-traitant de supprimer les données à la fin de la relation contractuelle (article 28, paragraphe 3, point g du RGPD) : La société a conservé une copie des données de plus de 46 millions d'utilisateurs de DEEZER après la fin du contrat, alors qu'elle était tenue de les supprimer. Bien que l'entreprise ait attribué cette copie à trois de ses salariés agissant à son insu, l'autorité a retenu sa responsabilité, les données étant stockées sur un de ses serveurs avec celles d'autres clients, ce qui a engendré un risque pour la sécurité des données.
* Obligation pour le sous-traitant de respecter les instructions du responsable de traitement (article 29 du RGPD) : La société a copié et utilisé les données des utilisateurs de DEEZER pour améliorer les performances de ses propres services, notamment sa plateforme de campagnes publicitaires personnalisées. L'autorité a considéré qu'aucune instruction du responsable de traitement n'autorisait la société à utiliser ces données pour une telle finalité.
* Obligation de tenir un registre des activités de traitement (article 30 du RGPD) : En sa qualité de sous-traitant, la société MOBIUS SOLUTIONS LTD n'a pas tenu de registre de ses activités de traitement pour le compte de ses clients, manquant ainsi à une obligation qui lui incombait.
En conséquence, l’autorité a imposé une amende de 1 000 000 € à la société MOBIUS SOLUTIONS LTD.
En outre, l’autorité a ordonné la publication de sa décision.
Plus d'informations dans notre fiche dédiée !
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire