Dans une résolution de clôture de procédure, l'autorité espagnole sanctionne une mutuelle d'assurance pour une violation de données résultant de la compromission des identifiants d'un agent. L'autorité a estimé que les mesures de sécurité, notamment l'absence d'authentification multifacteur, étaient insuffisantes pour protéger les données personnelles des assurés contre un accès non autorisé.

Faits et contexte

L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de PELAYO MUTUA DE SEGUROS Y REASEGUROS A PRIMA FIJA, comprenant le prononcé d'une amende de 24 000 €, pour des manquements liés à la sécurité des données personnelles ayant conduit à une violation de données.

L'affaire trouve son origine dans la notification d'une violation de données par la société le 10 octobre 2024, complétée par la plainte d'une personne concernée ayant été informée d'un accès non autorisé à ses données.

Motifs de la décision

• Obligation de garantir l'intégrité et la confidentialité des données (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté que la société n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque. L'accès à l'application compromise reposait sur un simple mécanisme d'authentification par identifiant et mot de passe, jugé insuffisant en l'absence de mesures complémentaires comme l'authentification multifacteur. De plus, la notification de violation de la société a elle-même reconnu que les données affectées n'étaient ni chiffrées de manière sûre, ni protégées pour les rendre inintelligibles, ce qui a permis l'exfiltration des données de ***CANTIDAD.1 personnes, dont des identifiants présentant une sensibilité particulière comme le numéro d'identification fiscale (conformément aux considérants 51 et 75 du RGPD).

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 24 000 € à PELAYO MUTUA DE SEGUROS Y REASEGUROS A PRIMA FIJA. Ce montant résulte d'une amende initiale de 40 000 €, réduite de 40 % suite à la reconnaissance de responsabilité et au paiement volontaire par l'entreprise.

En outre, l'autorité a ordonné à la société de justifier, dans un délai de trois mois, de la mise en œuvre effective de mesures techniques et organisationnelles adéquates pour remédier aux failles de sécurité constatées.

Enseignements

Cette décision rappelle que :

• Une authentification reposant uniquement sur un couple identifiant/mot de passe est considérée comme insuffisante pour sécuriser l'accès à des traitements de données personnelles à grande échelle, l'absence d'authentification multifacteur constituant une négligence.
• Le responsable de traitement doit s'assurer que les mesures de sécurité, y compris les politiques de mots de passe et les mécanismes d'authentification robustes, sont effectivement appliquées par ses intermédiaires (tels que les agents d'assurance) ayant accès à ses systèmes d'information.
• Les droits d'accès accordés aux utilisateurs, y compris les partenaires externes, doivent être strictement limités aux données nécessaires à l'accomplissement de leurs missions, afin d'éviter qu'un seul compte compromis ne puisse exposer l'intégralité d'une base de données.