cnil
Le Conseil d’État détaille l’obligation de notification des failles de sécurité, l’une des pierres angulaires du RGPD. Cette obligation d’alerte de la CNIL disparaît quand c’est l’autorité elle-même qui informe le responsable de traitement de l’existence de la brèche. Si du moins les informations en sa possession sont suffisantes pour engager un contrôle.
L’arrêt rendu le 22 juillet concernait un défaut de sécurisation de données sensibles, des imageries médicales d’un serveur détenu par un chirurgien orthopédiste. En libre accès, pas moins de cinq mille trois cents images médicales, avec nom, prénom, date de naissance, nom des praticiens, etc.
Alerté de cette fuite par l’autorité elle-même le 8 octobre 2019, le professionnel de santé avait colmaté la brèche dès le lendemain.
Fin 2020, la CNIL prononçait malgré tout à son encontre une amende de 3 000 euros pour ne pas avoir respecté les articles 32 et 33 du règlement européen. Ces deux dispositions sont respectivement relatives à l’obligation de sécurité et l’obligation de notification des violations de données.
Le professionnel de santé avait reconnu avoir un peu trop ouvert ses accès « pour faire fonctionner son » VPN « , dont il avait paramétré lui-même la fonction serveur du logiciel d’imagerie « HOROS » sans recourir à un prestataire », résume l’arrêt.
Par ailleurs, il n’avait pas chiffré ces données « ce qui permettait à toute personne prenant possession de ses appareils ou s’introduisant de manière indue sur le réseau auquel ces appareils étaient raccordés de prendre connaissance de ces données ».
Autant de manquements caractérisés à l’obligation de sécurité, confirmés par le Conseil d’État. Cependant, la même juridiction a réformé la décision de la CNIL s’agissant de l’absence de notification.
Le règlement DORA : un tournant majeur pour la cybersécurité des institutions financières Le 17…
L’Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié un rapport sur les…
Directive NIS 2 : Comprendre les nouvelles obligations en cybersécurité pour les entreprises européennes La…
Alors que la directive européenne NIS 2 s’apprête à transformer en profondeur la gouvernance de…
L'intelligence artificielle (IA) révolutionne le paysage de la cybersécurité, mais pas toujours dans le bon…
Des chercheurs en cybersécurité ont détecté une intensification des activités du groupe APT36, affilié au…
This website uses cookies.