L'autorité espagnole de protection des données a sanctionné un opérateur de télécommunications pour une violation de données résultant de l'absence de contrat de sous-traitance valide et de mesures de sécurité adéquates chez son prestataire, soulignant la responsabilité indéfectible du responsable du traitement dans la supervision de sa chaîne de traitement.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de VODAFONE ESPAÑA, S.A.U. (comprenant le prononcé d'une amende de 750 000 €) pour des manquements en lien avec l'absence de contrat de sous-traitance, des mesures de sécurité insuffisantes et une violation de la confidentialité des données.

L'affaire trouve son origine dans la notification d'une violation de données par VODAFONE le 23 novembre 2023, suite à un cyber-incident survenu chez son sous-traitant, ***EMPRESA.1***, ayant entraîné un accès non autorisé à un fichier contenant des données de clients.

Motifs de la décision

• Obligation de formaliser la relation avec un sous-traitant (article 28 du RGPD) : L'autorité a constaté qu'au moment de la violation de données, il n'existait aucun contrat de traitement de données valablement conclu entre VODAFONE, en tant que responsable du traitement, et son prestataire ***EMPRESA.1***. Le contrat n'a été signé que le 4 septembre 2024, soit bien après l'incident. L'autorité a jugé qu'un contrat formalisé postérieurement à la violation, même avec une date d'entrée en vigueur prétendument antérieure, ne saurait exonérer le responsable de sa responsabilité, car il ne garantit pas la soumission effective du sous-traitant aux obligations du RGPD durant la période non couverte contractuellement.
• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : L'enquête a révélé de graves lacunes dans les mesures techniques et organisationnelles. L'autorité a estimé que la violation de cet article est constituée dès lors que les mesures de sécurité sont inadaptées au risque, sans qu'il soit nécessaire qu'une violation de données se matérialise. En l'espèce, des défaillances ont été identifiées, telles que l'absence de chiffrement des données au repos (les données exfiltrées étaient en clair), l'absence de contrôle sur l'origine géographique des connexions et des faiblesses dans la gestion du cycle de vie des accès utilisateurs, constituant une vulnérabilité structurelle.
• Obligation de garantir l'intégrité et la confidentialité des données (article 5, paragraphe 1, point f) du RGPD) : La perte de confidentialité des données des clients (nom, prénom, courriel) est la conséquence directe des manquements précédents. L'autorité a considéré que l'insuffisance des mesures de sécurité a permis l'accès non autorisé et la violation du principe de confidentialité. Conformément aux obligations de responsabilité proactive des articles 5, paragraphe 2, et 24 du RGPD, VODAFONE, en tant que responsable du traitement, a été tenue pour responsable de cette violation, n'ayant pas démontré avoir mis en œuvre les mesures appropriées pour protéger les données.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 750 000 € à VODAFONE ESPAÑA, S.A.U. Cette amende se décompose en 100 000 € pour la violation de l'article 28, 150 000 € pour celle de l'article 32, et 500 000 € pour le manquement à l'article 5, paragraphe 1, point f) du RGPD.

Enseignements

Cette décision confirme / précise / rappelle que :

• Un contrat de sous-traitance doit être formalisé et en vigueur *avant* le début de tout traitement de données ; sa signature tardive, même avec effet rétroactif, ne couvre pas la période antérieure et constitue une violation en soi.
• Le responsable du traitement demeure pleinement responsable des violations survenant chez son sous-traitant, notamment lorsque le défaut de supervision et l'absence d'un cadre contractuel adéquat sont à l'origine de l'incident.
• La violation de l'obligation de sécurité (article 32) est constituée par la simple absence de mesures techniques et organisationnelles appropriées, indépendamment de la matérialisation effective d'une violation de données.
• Les activités de contrôle et d'audit d'un sous-traitant doivent être effectives et documentées ; des formulaires non signés et sans description méthodologique sont jugés insuffisants pour démontrer une supervision adéquate.
• Des sanctions antérieures pour des manquements de nature similaire (par exemple, des violations de la confidentialité ou des mesures de sécurité) sont considérées comme un facteur aggravant pertinent lors de la détermination du montant de l'amende.