En mai 2024, un nouveau Amende de plusieurs millions d'euros pour de graves violations de la protection des données. Et cela justement contre une entreprise qui est censée protéger ses clients sur Internet.
1. Avast Software et Avast Limited : 13,9 millions d'euros (République tchèque)
L'autorité tchèque de protection des données a engagé une procédure contre la société Avast Software, basée à Prague (République tchèque), et contre la société Avast Limited. Amende d'un montant de 13,9 millions d'euros (351 millions de CZK). La décision finale de l'autorité compétente autorité de contrôle a eu lieu le 10 avril 2024, et la publication le 2 mai 2024.
Une information anonyme et des articles parus dans la presse fin 2019 ont été à l'origine de l'enquête.
La société tchèque autorité de contrôle a constaté que l'entreprise données à caractère personnel avait transmis à sa société sœur, sans fondement juridique, les données des utilisateurs de son logiciel antivirus et de ses extensions de navigateur. Les données transmises concernaient environ 100 millions d'utilisateurs et comprenaient notamment l'historique de navigation pseudonymisé des utilisateurs, associé à un identifiant unique. En outre, la autorité de contrôle a constaté que l'objectif de la Traitement Responsable avait fourni des informations erronées à ses utilisateurs (les personnes concernées) au sujet de ces transferts de données, en affirmant que les données transférées étaient anonymisées et utilisées exclusivement à des fins d'analyses statistiques des tendances. La LSA a conclu que les historiques de navigation sur Internet, même s'ils ne sont pas complets, données à caractère personnel peuvent constituer une infraction, car la réidentification d’au moins certaines des personnes concernées est possible. La gravité de cette faute est d’autant plus grande que l’entreprise en question est l’un des principaux experts en cybersécurité, qui met à la disposition du grand public des outils destinés à la protection des données et de la Vie privée mette à disposition.
Source : Le président de l'Office de protection des données personnelles
2. Verkkokauppa.com : 856 000 euros (Finlande)
Après une Plainte la société finlandaise autorité de contrôle a examiné les activités du site de vente en ligne Verkkokauppa.com. L'entreprise exigeait de ses clients qu'ils s'inscrivent avant de pouvoir effectuer des achats en ligne. Il n'était pas possible d'effectuer des achats sur la boutique en ligne sans créer de compte client.
L'audit de l'entreprise a révélé que les données des comptes clients de la boutique en ligne étaient conservées pour une durée indéterminée. De plus, aucune indication n'était fournie quant à la durée de conservation des données collectées.
De plus, la pratique consistant à exiger la création d'un compte client pour effectuer des achats en ligne enfreignait la législation sur la protection des données. La création d'un compte client ou le stockage des données à caractère personnel qui en découlent ne doivent pas constituer une condition préalable à la réalisation d'achats en ligne ponctuels.
La société finlandaise autorité de contrôle a imposé, par décision du 6 mars 2024, un Amende d'un montant de 856.000 euros contre Verkkokauppa.com pour ne pas avoir fixé de délai de conservation des données des comptes clients. Il a également été demandé à l'entreprise de corriger la pratique de l'enregistrement nécessaire pour les achats en ligne. La décision a été publiée le 8 mai.
Source : Communiqué de presse de l'ombudsman de la protection des données
3. ministère grec de l'Intérieur : 400.000 euros
À l'issue d'une enquête, l'autorité grecque chargée de la protection des données a constaté que la députée européenne Anna-Michelle Asimakopoulou avait envoyé, sans autorisation, des e-mails à caractère politique à des électeurs grecs résidant à l'étranger. Les adresses e-mail provenaient d'un registre du ministère de l'Intérieur, créé en vue des élections de 2023. 236 plaintes ont été déposées contre Mme Asimakopoulou pour envoi de messages politiques non sollicités. Par ailleurs, 66 plaintes ont été déposées contre le ministère de l'Intérieur pour avoir divulgué ces adresses.
L'enquête sur les autorité de contrôle Il est apparu qu'Asimakopoulou avait utilisé une liste contenant 25 538 adresses e-mail, dont 23 392 correspondaient à celles du ministère de l'Intérieur. Ces adresses n'étaient pas correctement sécurisées et leur traitement s'est effectué sans mesures de protection suffisantes.
L'autorité grecque de protection des données a donc adopté le 27.05.2024 un Amende d'un montant de 400 000 euros contre le ministère de l'Intérieur et a recommandé des mesures de Sécurité des données. Par ailleurs, la autorité de contrôle demande au ministère de l'Intérieur de veiller au respect des règles de protection des données.
Une amende de 40 000 euros a été infligée à la députée Anna-Michelle Asimakopoulou.
Source : avis d'amende
4. 4Finance Spain Financial Services, S.A.U. : 360 000 euros (Espagne)
L'Autorité espagnole de protection des données (AEPD) a ouvert une procédure d'amende à l'encontre de 4Finance Spain Financial Services après qu'une faille de sécurité a été signalée le 17 février 2023.
L'enquête a révélé que des pirates avaient accédé à des comptes clients à l'aide d'identifiants volés et avaient déposé de fausses demandes de crédit. L'accès aux données a été obtenu par le biais d'attaques par force brute et de « credential stuffing ». Au total, 9 497 clients ont été touchés, dont les données personnelles et financières ont été compromises par cet accès non autorisé.
En outre, il s'est avéré que l'entreprise n'avait pas immédiatement notifié la violation de la protection des données à l'AEPD ou aux personnes concernées, alors que cela était obligatoire en vertu des articles 33 et 34 du RGPD (RGPD) aurait été nécessaire. Ce n'est que sur ordre de l'AEPD que l'entreprise a informé les clients concernés de l'incident le 11 avril 2023.
À la suite de cet incident, 4Finance Spain Financial Services a mis en place des mesures de sécurité supplémentaires, notamment l'authentification à deux facteurs (2FA), afin de prévenir de futures attaques.
L'amende initialement infligée, d'un montant de 600 000 euros, a été réduite à 360 000 euros par décision du 8 avril 2024, en raison de la reconnaissance de la faute. La décision a été publiée le 8 mai 2024.
Source : Avis d'amende de l'AEPD
5. Vodafone España : 200 000 euros (Espagne)
En raison de la Plainte d'un client, l'autorité espagnole de protection des données (AEPD) a entamé une procédure de sanction contre Vodafone España, S.A.U.. Le client avait reçu le 14 janvier 2022 un SMS annonçant un changement de titulaire de contrat sans son consentement. Vodafone a confirmé que le changement avait été effectué de manière frauduleuse dans un magasin de Rubí (Barcelone).
L'opérateur téléphonique a indiqué que la fraude avait été commise par un tiers qui s'était procuré les données personnelles du client et les avait utilisées pour conclure plusieurs contrats frauduleux. À l'issue d'une enquête, Vodafone a constaté que cette fraude avait été rendue possible par des pièces d'identité falsifiées et des contrôles d'identité insuffisants dans plusieurs agences de Barcelone et de Valence.
Vodafone a pris des mesures pour résilier les contrats frauduleux, a remboursé au client les frais engagés et l'a ajouté à la liste interne des victimes de fraude afin d'éviter que de tels incidents ne se reproduisent.
L'AEPD a toutefois constaté que Vodafone n'avait pas pris de mesures suffisantes pour prévenir ce type de fraudes. De plus, les mesures de sécurité étaient insuffisantes pour vérifier correctement l'identité des clients lors de la conclusion du contrat.
L'AEPD a recommandé une révision des protocoles de sécurité de Vodafone et a infligé une amende de 200 000 euros pour violation de l'article 6, paragraphe 1, de la directive sur la protection des données. RGPD. Vodafone l'a fait selon la autorité de contrôle a omis de vérifier la légalité de la Traitement des données à caractère personnel.
Source : Avis d'amende de l'AEPD
German 
English 
Italian 
French