{"id":35086,"date":"2024-12-06T15:19:16","date_gmt":"2024-12-06T15:19:16","guid":{"rendered":"https:\/\/2b-advice.com\/?p=35086"},"modified":"2024-12-09T12:45:40","modified_gmt":"2024-12-09T12:45:40","slug":"voici-les-cinq-amendes-les-plus-elevees-du-dsgvo-en-novembre-2024","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/fr\/2024\/12\/06\/das-sind-die-fuenf-hoechsten-dsgvo-bussgelder-im-november-2024\/","title":{"rendered":"Voici les cinq amendes les plus \u00e9lev\u00e9es du RGPD en novembre 2024"},"content":{"rendered":"
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

En novembre 2024, trois amendes de plusieurs millions ont \u00e9t\u00e9 inflig\u00e9es \u00e0 des entreprises espagnoles, italiennes et finlandaises. Dans deux cas, les autorit\u00e9s de protection des donn\u00e9es ont critiqu\u00e9 le fait que le principe \"Privacy by Design\" n'\u00e9tait que tr\u00e8s insuffisamment mis en \u0153uvre dans les processus de traitement des donn\u00e9es. Et comme c'est souvent le cas, les amendes inflig\u00e9es offrent des enseignements int\u00e9ressants pour les entreprises.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

The Phone House Spain : 6,5 millions d'euros (Espagne)<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Le 14 avril 2021, The Phone House Spain, S.L. (TPHS) a signal\u00e9 une grave violation de donn\u00e9es \u00e0 l'Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (AEPD), l'autorit\u00e9 espagnole de protection des donn\u00e9es. Environ 13 millions d'enregistrements de donn\u00e9es ont \u00e9t\u00e9 touch\u00e9s. L'attaque a eu lieu via un ransomware (Babuk Locker) qui a crypt\u00e9 des donn\u00e9es personnelles sensibles. Les donn\u00e9es ont ensuite \u00e9t\u00e9 publi\u00e9es sur le Dark Web.<\/p>

L'AEPD a consid\u00e9r\u00e9 qu'il y avait eu violation de l'article 5, paragraphe 1, point f) du RGPD (int\u00e9grit\u00e9 et confidentialit\u00e9) et de l'article 32 du RGPD (mesures techniques et organisationnelles). Concr\u00e8tement, l'AEPD a reproch\u00e9 \u00e0 l'entreprise de t\u00e9l\u00e9phonie mobile des mesures de s\u00e9curit\u00e9 insuffisantes, telles que des r\u00e8gles de mot de passe inad\u00e9quates, des mesures de s\u00e9curit\u00e9 r\u00e9seau faibles et l'absence de v\u00e9rifications r\u00e9guli\u00e8res.<\/p>

The Phone House, quant \u00e0 elle, s'est consid\u00e9r\u00e9e comme victime d'une cyber-attaque sophistiqu\u00e9e. L'entreprise a expliqu\u00e9 que m\u00eame les mesures de s\u00e9curit\u00e9 les plus avanc\u00e9es n'avaient peut-\u00eatre pas offert une protection totale. En outre, la publication ult\u00e9rieure des donn\u00e9es sur le dark web \u00e9tait hors de son contr\u00f4le.<\/p>

L'AEPD a n\u00e9anmoins inflig\u00e9 une amende de 6,5 millions d'euros. Dans l'avis d'amende, elle justifie cette d\u00e9cision par la mise en \u0153uvre insuffisante de mesures de s\u00e9curit\u00e9 pr\u00e9ventives et par le nombre \u00e9lev\u00e9 de personnes concern\u00e9es. L'AEPD souligne l'obligation des entreprises de mettre en \u0153uvre de mani\u00e8re proactive des mesures de s\u00e9curit\u00e9 appropri\u00e9es en fonction des risques. L'AEPD a refus\u00e9 de faire appel de la d\u00e9cision.<\/p>

Source : L'Agencia Espa\u00f1ola de Protecci\u00f3n de Datos inflige une amende \u00e0 The Phone House<\/a>

Source : D\u00e9cision de rejet de l'Agencia Espa\u00f1ola de Protecci\u00f3n de Datos \u00e0 l'encontre du recours de The Phone House<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Foodinho : 5 millions d'euros (Italie)<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La proc\u00e9dure a \u00e9t\u00e9 d\u00e9clench\u00e9e par l'accident tragique d'un chauffeur qui a perdu la vie lors d'une livraison pour le service de livraison Foodinho. Apr\u00e8s la d\u00e9sactivation de son compte par un syst\u00e8me automatis\u00e9 de la plateforme Glovo, le d\u00e9funt a re\u00e7u un message inappropri\u00e9 l'excluant de la plateforme pour de pr\u00e9tendues violations de contrat. Ce message a non seulement attir\u00e9 l'attention du public, mais a \u00e9galement donn\u00e9 lieu \u00e0 de vastes enqu\u00eates sur la protection des donn\u00e9es.<\/p>

L'autorit\u00e9 italienne de protection des donn\u00e9es Garante per la protezione dei dati personali (GPDP) a constat\u00e9, lors de ses enqu\u00eates, des lacunes massives dans le traitement des donn\u00e9es, qui ne concernaient pas seulement ce cas particulier, mais l'ensemble de l'infrastructure de traitement des donn\u00e9es de Foodinho. Une attention particuli\u00e8re a \u00e9t\u00e9 accord\u00e9e au traitement automatis\u00e9 des donn\u00e9es et \u00e0 la transparence des conditions d'utilisation. Ainsi, les donn\u00e9es \u00e0 caract\u00e8re personnel de quelque 35.000 chauffeurs enregistr\u00e9s ont \u00e9t\u00e9 trait\u00e9es de mani\u00e8re ill\u00e9gale. Foodinho utilisait notamment des m\u00e9thodes d'authentification biom\u00e9triques sans avoir suffisamment clarifi\u00e9 et document\u00e9 leur base juridique.<\/p>

Foodinho a notamment utilis\u00e9 des m\u00e9thodes d'authentification biom\u00e9trique sans clarifier ni documenter suffisamment leur base juridique. De m\u00eame, l'\"Excellence Score\", un syst\u00e8me d'\u00e9valuation des conducteurs, reposait sur un traitement automatis\u00e9 des donn\u00e9es qui n'\u00e9tait ni suffisamment document\u00e9 ni expliqu\u00e9 de mani\u00e8re compr\u00e9hensible aux utilisateurs.<\/p>

L'autorit\u00e9 de protection des donn\u00e9es a impos\u00e9 une amende de cinq millions d'euros et a exig\u00e9 des mesures correctives suppl\u00e9mentaires. Elle a soulign\u00e9 la n\u00e9cessit\u00e9 de Protection des donn\u00e9es<\/a> int\u00e9grer d\u00e8s le d\u00e9part dans les processus (\"privacy by design\").<\/p>

Source : Amende inflig\u00e9e par le Garante per la protezione dei dati personali \u00e0 Foodinho<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Posti Jakelu Oy : 2,4 millions d'euros (Finlande)<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L'enqu\u00eate a commenc\u00e9 par des plaintes d'utilisateurs selon lesquelles des documents personnels - y compris des factures et des dossiers m\u00e9dicaux sensibles - \u00e9taient transmis \u00e0 la bo\u00eete aux lettres num\u00e9rique d'OmaPosti sans leur consentement explicite. Certains utilisateurs ont indiqu\u00e9 qu'ils n'utilisaient pas activement le service ou qu'ils refusaient la communication postale num\u00e9rique pour des raisons personnelles. L'autorit\u00e9 finlandaise de protection des donn\u00e9es, Tietosuojavaltuutetun toimisto, a alors lanc\u00e9 un examen complet des pratiques de traitement des donn\u00e9es de la plate-forme postale Posti Jakelu Oy.<\/p>

L'autorit\u00e9 finlandaise de protection des donn\u00e9es a constat\u00e9 d'importantes lacunes dans le traitement des donn\u00e9es, en violation de plusieurs dispositions du RGPD :<\/p>

  1. Activation automatique des bo\u00eetes aux lettres : Posti Jakelu Oy a cr\u00e9\u00e9 des bo\u00eetes aux lettres num\u00e9riques pour les utilisateurs sans demander leur consentement explicite. Cette pratique \u00e9tait contraire \u00e0 l'article 6 du RGPD, qui exige une base juridique claire pour le traitement des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/li>
  2. Manque de transparence : les utilisateurs n'\u00e9taient pas suffisamment inform\u00e9s du fait que leurs donn\u00e9es \u00e0 caract\u00e8re personnel \u00e9taient automatiquement transf\u00e9r\u00e9es dans la bo\u00eete aux lettres num\u00e9rique. Cela contrevenait aux articles 12 \u00e0 14 du RGPD, qui exigent la transparence et une information claire des personnes concern\u00e9es.<\/li>
  3. Absence de choix : les utilisateurs n'avaient pas la possibilit\u00e9 de refuser le service ou d'emp\u00eacher la transmission de leurs donn\u00e9es. Cela constitue une violation des principes de base du traitement des donn\u00e9es conform\u00e9ment \u00e0 l'article 5 du RGPD.

    <\/li><\/ol>

    En particulier, l'activation automatique des bo\u00eetes aux lettres num\u00e9riques sans le consentement actif des utilisateurs a \u00e9t\u00e9 consid\u00e9r\u00e9e comme une violation grave. L'autorit\u00e9 a pr\u00e9cis\u00e9 que la cr\u00e9ation d'une bo\u00eete aux lettres num\u00e9rique n'\u00e9tait pas obligatoire pour la fourniture d'autres services et qu'il n'existait donc pas de base juridique valable au sens de l'article 6 du RGPD.<\/p>

    Outre l'imposition d'une amende de 2,4 millions d'euros, l'autorit\u00e9 finlandaise de protection des donn\u00e9es a ordonn\u00e9 \u00e0 Posti Jakelu Oy de revoir ses pratiques de traitement des donn\u00e9es afin d'assurer la conformit\u00e9 avec le RGPD. Les principales exigences comprenaient<\/p>