L'autorité espagnole a constaté un manquement au principe d'intégrité et de confidentialité (article 5.1.f) du RGPD à l'encontre d'une administration publique, suite à une violation de données résultant de l'exploitation de vulnérabilités connues et de l'absence de mesures de sécurité de base, telles que l'authentification à double facteur.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision constatant un manquement à l'encontre du Gouvernement de la Communauté valencienne pour des manquements en lien avec le principe d'intégrité et de confidentialité des données personnelles.

L'affaire trouve son origine dans la notification d'une violation de données par le délégué à la protection des données du Gouvernement de la Communauté valencienne le 2 octobre 2023, suite à une alerte du Centre cryptologique national.

Motifs de la décision

• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté une violation de données sur le système informatique RIVIA, ayant permis l'exfiltration de données personnelles (nom, prénom, numéro de document d'identité, adresse, coordonnées) par un tiers non autorisé. L'enquête a révélé que l'accès a été obtenu via des identifiants compromis, en exploitant une vulnérabilité de type injection de code SQL, une faille de sécurité bien connue. L'autorité a souligné que des mesures de sécurité fondamentales faisaient défaut, notamment un mécanisme d'authentification à double facteur et des politiques robustes de gestion des mots de passe. De plus, l'absence de systèmes de détection précoce a permis l'exfiltration massive de données sur une période prolongée sans déclencher d'alerte. L'autorité a conclu que, bien que l'obligation de sécurité soit une obligation de moyens renforcée, l'absence de ces mesures techniques et organisationnelles appropriées face à des risques connus et matérialisés constituait une négligence imputable au responsable, entraînant une perte de confidentialité et violant ainsi directement ce principe.

Décision de l'autorité

En conséquence, l'autorité a constaté une violation de l'article 5, paragraphe 1, point f) du RGPD par le Gouvernement de la Communauté valencienne, mais n'a pas infligé d'amende puisqu'elle ne peut pas en prononcer à l'encontre des entités publiques.

En outre, l'autorité a ordonné que sa décision soit rendue publique après notification aux parties intéressées et communiquée au Défenseur du peuple.

Enseignements

Cette décision rappelle que :

• L'absence de mesures de sécurité élémentaires, telles que l'authentification à double facteur ou la protection contre des vulnérabilités courantes (par exemple, celles listées par l'OWASP), constitue une défaillance caractérisée dans la mise en œuvre d'une sécurité appropriée.
• Les mesures correctives mises en place après une violation de données, bien que nécessaires, ne permettent pas d'annuler le manquement initial ; l'évaluation de la conformité se fonde sur l'état des mesures au moment de l'incident.
• La conformité à des référentiels de sécurité nationaux ou la détention de certifications non spécifiques à la sécurité des informations (comme la norme ISO 9001) ne présument pas de la conformité au RGPD et ne dispensent pas d'une analyse de risques dédiée à la protection des données.
• Une violation de données résultant de mesures de sécurité manifestement insuffisantes peut être qualifiée de manquement direct au principe d'intégrité et de confidentialité (article 5.1.f), et pas seulement de manquement à l'obligation de sécurisation des traitements (article 32).
• La responsabilité du responsable du traitement inclut la mise en place de mécanismes de surveillance et de détection efficaces pour identifier et réagir rapidement aux activités suspectes, comme une exfiltration massive de données.