L'autorité roumaine de protection des données (ANSPDCP) a publié une décision de sanction à l'encontre de RENAULT COMMERCIAL ROUMANIE S.R.L. comprenant le prononcé d'une amende de 637 262,50 lei (équivalent à 125 000 €) pour des manquements en lien avec la sécurité du traitement et le choix de son sous-traitant. Cette affaire débute par la notification d'une violation de données par le responsable du traitement lui-même, conformément à l'article 33 du RGPD.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : À la suite d'une cyberattaque visant une application gérée par un sous-traitant, les données personnelles d'un très grand nombre de personnes concernées ont été consultées et divulguées sans autorisation sur une plateforme. L'autorité a estimé que le responsable du traitement n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment la capacité d'assurer la confidentialité des systèmes et l'existence d'un processus de test et d'évaluation réguliers de l'efficacité de ces mesures.

* Obligation de faire appel à des sous-traitants présentant des garanties suffisantes (article 28 du RGPD) : Il a été constaté que le responsable du traitement n'avait pas vérifié que le sous-traitant en charge de l'application affectée par l'incident de sécurité offrait les garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.

En conséquence, l’autorité a imposé une amende de 637 262,50 lei (équivalent à 125 000 €) à RENAULT COMMERCIAL ROUMANIE S.R.L.