Une décision sanctionnant un responsable pour l'absence de contrat de sous-traitance en vigueur au moment d'une violation de données, l'autorité ayant rejeté la validité d'un accord signé rétroactivement, ainsi que pour des mesures de sécurité jugées insuffisantes chez le sous-traitant.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de VODAFONE ESPAÑA, S.A.U. (comprenant le prononcé d'une amende de 400 000 €) pour des manquements en lien avec la sécurité du traitement et l'encadrement contractuel de son sous-traitant.

L'affaire trouve son origine dans la notification d'une violation de données par VODAFONE, consécutive à une cyberattaque par rançongiciel ayant visé l'un de ses sous-traitants en charge de services de centre d'appels le 8 novembre 2023.

Motifs de la décision

• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : L'autorité a estimé que VODAFONE, en tant que responsable du traitement, n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque. La violation de données, qui a affecté la disponibilité des informations de 98 509 personnes, a été rendue possible par des défaillances de sécurité significatives chez son sous-traitant, notamment l'absence d'authentification à double facteur sur un accès au réseau privé virtuel et de systèmes antivirus à jour. L'autorité a conclu que la négligence grave du responsable du traitement était établie, celui-ci demeurant responsable de la conformité du traitement, conformément à l'article 24 du RGPD.
• Obligation d'encadrer la relation avec un sous-traitant par un acte juridiquement contraignant (article 28 du RGPD) : L'autorité a constaté qu'au moment de la violation de données en novembre 2023, aucun contrat de sous-traitance valide et en vigueur ne liait VODAFONE à son prestataire. Bien qu'un accord ait été signé en janvier 2024 avec une date d'entrée en vigueur rétroactive au 1er avril 2023, l'autorité a jugé que cette pratique contrevenait au principe de responsabilité pro-active et ne satisfaisait pas à l'exigence d'un acte juridique écrit et contraignant au moment des faits. Se référant aux Lignes directrices 7/2020 du Comité européen de la protection des données sur les concepts de responsable du traitement et de sous-traitant, l'autorité a conclu que l'absence de contrat formel au moment de l'incident constituait une violation de l'article 28 du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 400 000 € à VODAFONE ESPAÑA, S.A.U., se décomposant en 300 000 € pour la violation de l'article 32 du RGPD et 100 000 € pour celle de l'article 28 du RGPD.

Enseignements

Cette décision rappelle que :

• La signature d'un contrat de sous-traitance avec une date d'effet rétroactive ne permet pas de satisfaire à l'obligation de l'article 28 du RGPD ; l'acte juridique doit être formellement en vigueur avant le début des opérations de traitement et, a fortiori, au moment d'un incident de sécurité.
• Le responsable du traitement demeure pleinement responsable des défaillances de sécurité de son sous-traitant, notamment lorsque des mesures élémentaires comme l'authentification à double facteur ou des antivirus à jour font défaut.
• La responsabilité pro-active impose au responsable du traitement de s'assurer non seulement de l'existence formelle d'un contrat de sous-traitance, mais aussi de la mise en œuvre effective des mesures de sécurité appropriées par son prestataire avant de lui confier un traitement.