Une société a été sanctionnée pour avoir utilisé des données personnelles réelles dans un environnement de test, ce qui a conduit à une violation de données à la suite d'une cyberattaque sur le serveur concerné.

Faits et contexte

L'autorité roumaine de protection des données, l'Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), a aujourd'hui publié une décision de sanction à l'encontre de MYCONNECTOR PLATFORM SRL, comprenant le prononcé d'une amende de 6 000 € (31 451 lei), pour des manquements liés à la sécurité du traitement des données.

L'affaire trouve son origine dans la notification d'une violation de données personnelles effectuée par la société elle-même, conformément à l'article 33 du RGPD.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que la violation de données résultait d'une attaque informatique sur le serveur de test de la société. Elle a jugé que le responsable du traitement n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment la capacité d'assurer la confidentialité et l'intégrité des systèmes de traitement. L'utilisation de données personnelles réelles, au lieu de données fictives, pour les tests de son application a été retenue comme une circonstance aggravante, car elle a exposé les données d'un nombre important de personnes (noms, prénoms, adresses de courriel, numéros de téléphone, codes numériques personnels, séries et numéros de pièces d'identité) et a ainsi amplifié l'impact de l'incident.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 6 000 € (31 451 lei) à MYCONNECTOR PLATFORM SRL.

En outre, l'autorité a ordonné à la société, sur le fondement de l'article 58, paragraphe 2, point d), du RGPD, d'établir une procédure interne imposant l'utilisation exclusive de données fictives dans les environnements de développement et de test.

Enseignements

Cette décision rappelle que :

• L'utilisation de données personnelles réelles dans des environnements de développement ou de test, au lieu de données fictives, constitue un manquement à l'obligation de sécurité et est considérée comme une circonstance aggravante en cas d'incident.
• Les obligations de sécurité prévues à l'article 32 du RGPD s'appliquent à l'ensemble des environnements de traitement, y compris les serveurs de test, qui doivent faire l'objet de mesures techniques et organisationnelles appropriées pour prévenir tout accès non autorisé.
• Une violation de données survenant sur un environnement de test est analysée avec la même rigueur qu'un incident sur un environnement de production, l'impact sur les personnes concernées étant le critère déterminant.