L'autorité de protection des données française (CNIL) a publié une décision de sanction à l'encontre de la société NEXPUBLICA FRANCE, comprenant le prononcé d'une amende de 1 700 000 €, pour des manquements liés à la sécurité des données personnelles traitées via un logiciel qu'elle développe.

Cette affaire débute par des notifications de violation de données personnelles adressées à la CNIL par des clients de la société, suite à des signalements d'usagers ayant eu accès à des documents appartenant à des tiers.

L’enquête menée par l’autorité a permis de constater :

* Obligation d'assurer la sécurité des données personnelles (article 32 du RGPD) : L'autorité a jugé que la société n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour son logiciel PCRM, un outil de gestion de la relation avec les usagers. L'enquête a révélé une faiblesse généralisée du système d'information et une négligence, la société ayant laissé perdurer des problèmes de sécurité structurels. Il a été noté que la plupart des vulnérabilités relevaient d'une méconnaissance de principes élémentaires de sécurité et étaient déjà identifiées dans plusieurs rapports d'audit, sans que des correctifs ne soient appliqués avant la survenance des violations de données.

En conséquence, l’autorité a imposé une amende de 1 700 000 € à la société NEXPUBLICA FRANCE.