L'autorité italienne inflige une sanction de 85 000 € à The European House - Ambrosetti pour manquements à la sécurité et communication tardive d'une violation de données
L'autorité italienne de protection des données personnelles (GPDP) a publié une décision de sanction à l'encontre de The European House - Ambrosetti S.p.A., comprenant le prononcé d'une amende de 85 000 €, pour des manquements en lien avec la sécurité du traitement, la limitation de la conservation et la communication d'une violation de données. Cette affaire débute par la notification d'une violation de données par la société elle-même, concernant une exfiltration de données suite à un accès non autorisé à ses systèmes.
L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité et de sécurité du traitement (article 5, paragraphe 1, point f) du RGPD et article 32 du RGPD) : La société conservait les mots de passe des utilisateurs soit en clair (environ 36 000), soit en utilisant une fonction de hachage obsolète et non robuste (MD5), y compris pour des systèmes qui n'étaient plus en service. L'autorité a jugé ces mesures techniques inadéquates pour garantir un niveau de sécurité approprié au risque, soulignant que le choix de prestataires externes incompétents en matière de sécurité ne décharge pas la société de sa responsabilité en tant que responsable du traitement.
* Obligation de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : Les identifiants d'authentification concernés par la violation se rapportaient à des applications qui n'étaient plus utilisées depuis 2022, et pour l'une d'entre elles, depuis mars 2020. L'autorité a conclu que la conservation de ces données n'était plus nécessaire au regard des finalités du traitement, en violation du principe de limitation de la conservation.
* Obligation de communication d'une violation de données à la personne concernée (article 34 du RGPD) : La société n'a pas communiqué la violation aux 61 670 personnes concernées, estimant à tort que le risque n'était pas élevé. La communication n'a eu lieu que tardivement, en juin et juillet 2024, suite à une injonction de l'autorité. La société a justifié ce retard par la crainte d'un préjudice réputationnel, un motif jugé inacceptable par l'autorité, qui a considéré cette priorisation comme un manquement au principe de responsabilité.
En conséquence, l’autorité a imposé une amende de 85 000 € à The European House - Ambrosetti S.p.A.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.
L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité et de sécurité du traitement (article 5, paragraphe 1, point f) du RGPD et article 32 du RGPD) : La société conservait les mots de passe des utilisateurs soit en clair (environ 36 000), soit en utilisant une fonction de hachage obsolète et non robuste (MD5), y compris pour des systèmes qui n'étaient plus en service. L'autorité a jugé ces mesures techniques inadéquates pour garantir un niveau de sécurité approprié au risque, soulignant que le choix de prestataires externes incompétents en matière de sécurité ne décharge pas la société de sa responsabilité en tant que responsable du traitement.
* Obligation de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : Les identifiants d'authentification concernés par la violation se rapportaient à des applications qui n'étaient plus utilisées depuis 2022, et pour l'une d'entre elles, depuis mars 2020. L'autorité a conclu que la conservation de ces données n'était plus nécessaire au regard des finalités du traitement, en violation du principe de limitation de la conservation.
* Obligation de communication d'une violation de données à la personne concernée (article 34 du RGPD) : La société n'a pas communiqué la violation aux 61 670 personnes concernées, estimant à tort que le risque n'était pas élevé. La communication n'a eu lieu que tardivement, en juin et juillet 2024, suite à une injonction de l'autorité. La société a justifié ce retard par la crainte d'un préjudice réputationnel, un motif jugé inacceptable par l'autorité, qui a considéré cette priorisation comme un manquement au principe de responsabilité.
En conséquence, l’autorité a imposé une amende de 85 000 € à The European House - Ambrosetti S.p.A.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire