L'autorité italienne de protection des données, le Garante, a imposé une série d'amendes visant plusieurs entités pour diverses violations de la protection des données.

En particulier, Banco Bilbao Italia (BBVA) s'est vu infliger une amende de plus de 5,5 millions d'euros pour avoir envoyé des messages promotionnels à un client après qu'il avait clairement dit «non». Ces messages ont continué pendant sept mois en raison d'un problème technique entre les systèmes de la banque. Le régulateur a déclaré que l'enregistrement du refus d'un client ne suffit pas et que la banque doit s'assurer que la décision est respectée dans l'ensemble de ses systèmes. BBVA a également été mise en demeure d'améliorer ses procédures techniques et organisationnelles pour le traitement des demandes de protection de la vie privée des clients.

L'autorité de régulation a également infligé 24 000 € d'amende à l'Autorité sanitaire universitaire du Frioul central (ASUFC) à Udine, car le personnel hospitalier pouvait accéder aux dossiers médicaux des employés sans intervenir dans leur prise en charge. Le système était dépourvu de contrôles d'accès et d'alertes adéquats. L'ASUFC a été sommée d'améliorer la sécurité et la surveillance.

ASIS Trento, l’agence publique chargée de la gestion et de l’entretien des installations sportives de la municipalité de Trente, a reçu une amende de 8 000 € pour avoir utilisé des caméras dans les vestiaires afin de prévenir les vols. Selon le régulateur, ces caméras enfreignaient les règles relatives à la vie privée, car les vestiaires sont des lieux où les personnes ont une forte attente d’intimité. ASIS a retiré les caméras, amélioré les avis d’information et réduit la durée de conservation des données.

Enfin, l’Agence régionale pour l’emploi d’Émilie-Romagne s’est vu infliger une amende de 30 000 € pour avoir publié les noms de personnes inscrites auprès des agences pour l’emploi dans le cadre d’un processus de recrutement hospitalier. Cette publication risquait de révéler des informations personnelles sensibles. L’autorité a estimé que l’agence aurait dû recourir à l’anonymisation plutôt que de publier des données à caractère personnel en ligne.

Grindr règle un litige sur la vie privée au Royaume-Uni pour 26 millions de livres sterling

L’application de rencontres LGBTQ+ Grindr a accepté de verser 26 millions de livres sterling (30,3 millions d’euros) pour solder un litige au Royaume-Uni concernant des allégations selon lesquelles elle aurait partagé des informations sensibles sur ses utilisateurs, notamment leur statut VIH, avec des annonceurs.

La plainte a été déposée en avril 2024 au nom d’environ 12 000 utilisateurs britanniques. Le partage de données présumé a eu lieu avant 2020, lorsque Grindr appartenait à la société chinoise Kunlun.

Aux termes de l'accord, Grindr versera 13 millions de livres sterling (~15,2 millions d'euros) d'ici fin décembre 2026 et 13 millions de livres sterling supplémentaires d'ici fin mars 2027.

Grindr a nié les allégations et a déclaré que le règlement amiable n'implique pas de reconnaissance de responsabilité. L'entreprise a indiqué avoir considérablement modifié ses pratiques en matière de vie privée depuis 2020 et reste engagée dans la protection des données de ses utilisateurs.

Le cabinet de conseil en technologie Extia condamné à une amende de 300 000 € pour violations du RGPD

L'autorité de protection des données française, la Commission nationale de l'informatique et des libertés (CNIL), a infligé une amende de 300 000 € au cabinet de conseil en informatique et en ingénierie Extia pour ne pas avoir traité correctement les demandes de suppression de données à caractère personnel formulées par des particuliers en vertu du General Data Protection Regulation (GDPR) de l'Union européenne.

L’enquête de la CNIL faisait suite à plusieurs plaintes déposées en 2024 par d’anciens employés d’Extia et des candidats à un emploi qui signalaient des difficultés à exercer leur «droit à l’oubli» en vertu de l’article 17 du RGPD.

L’autorité a constaté qu’Extia avait reçu 265 demandes d’effacement en 2024, principalement de la part de candidats et d’anciens salariés. Selon la CNIL, plus des trois quarts de ces demandes n’ont pas été traitées ou l’ont été de manière non satisfaisante.

Extia a soutenu que de nombreuses demandes concernaient des candidats dont les données personnelles avaient déjà été supprimées automatiquement. Cependant, la CNIL a indiqué que même si les informations étaient supprimées, l'entreprise était toujours tenue d'informer les personnes du résultat de leurs demandes.

L'autorité a constaté qu'Extia avait enfreint l'article 17 pour ne pas avoir traité de manière adéquate les demandes de suppression de données, ainsi que l'article 12 pour ne pas avoir communiqué les résultats aux personnes concernées.

La CNIL a constaté qu’Extia avait adopté des mesures correctives, notamment la suppression des données concernées et l’information des personnes concernées des mesures prises. Malgré ces mesures, l’autorité a prononcé une amende de 300 000 € au titre des manquements antérieurs de l’entreprise aux exigences du RGPD.

L'opérateur télécom suédois Telia sanctionné d'une amende d'un million de couronnes suédoises après suppression accidentelle de données

Telia, grand opérateur multinational suédois de télécommunications, a reçu une amende d’un million de couronnes suédoises (environ 88 600 €) par l’Agence suédoise des postes et des télécommunications (PTS) après avoir supprimé par inadvertance des données stockées à des fins répressives. L’incident résultait d’une erreur logicielle qui a entraîné la suppression prématurée des données stockées.

Les données étaient conservées à des fins de police et auraient dû être stockées pendant dix mois. Cependant, à la suite d’une mise à jour logicielle, certaines données ont été supprimées au bout de dix jours seulement.

En conséquence, environ 100 requêtes des organes de police auraient pu recevoir des réponses erronées. Le régulateur a noté que Telia aurait pu affirmer ne pas disposer d’abonné associé à une adresse IP spécifique, alors qu’un abonné aurait pu exister.

L’erreur a été découverte environ dix mois plus tard, et Telia a signalé l’incident à la PTS. L’autorité a déclaré que l’incident avait créé un risque de préjudice, bien qu’il n’y ait aucune preuve qu’un préjudice réel se soit produit. Néanmoins, l’agence a décidé que Telia devait payer une pénalité de 1 million de SEK.

Obtenir une démonstration

ImmuniWeb peut vous aider à prévenir les violations de données et à respecter les exigences réglementaires.

Un processeur de paiements amendé de 12 M$ pour traitement frauduleux des paiements

La Federal Trade Commission (FTC) des États-Unis a pris des mesures à l’encontre du processeur de paiements Humboldt Merchant Services, l’accusant d’avoir sciemment traité les paiements de plus de 1 000 commerçants douteux liés à des activités frauduleuses.

Selon l’ordonnance proposée, Humboldt devra verser 12 millions de dollars au titre de l’indemnisation des consommateurs et sera définitivement interdit de traiter les paiements pour certains commerçants à haut risque. Selon la FTC, Humboldt a ouvert des comptes pour des sociétés écrans malgré des signes indiquant qu’elles étaient utilisées pour soutenir des escroqueries de facturation non autorisée et d’autres fraudes.

La FTC allègue également que bon nombre de ces comptes présentaient des taux de rétrofacturation extrêmement élevés. Dans certains cas, Humboldt aurait transféré des transactions vers un numéro d’identification bancaire à risque moindre afin d’augmenter les chances d’approbation des paiements.

L’ordonnance proposée interdirait à Humboldt le traitement de paiements pour des sociétés écrans, des commerçants signalés pour fraude ou pour un nombre excessif de rétrofacturations, des entreprises ayant fait l'objet d'actions des forces de l'ordre, ainsi que certaines entreprises de commerce électronique à haut risque. Il serait également interdit à la société d'aider les commerçants à fournir de fausses informations ou à contourner les systèmes de surveillance de la fraude et des risques.

Par ailleurs, l’autorité a infligé une amende de 4,85 millions de dollars au prestataire mondial de services de paiement Nuvei pour avoir traité des paiements au profit d’entreprises impliquées dans des activités frauduleuses, notamment des escroqueries liées à l’assistance technique. L’ordonnance proposée interdit à Nuvei de fournir des services de paiement à toute personne vendant des produits ou services d’assistance technique par le biais du télémarketing ou de pop-up trompeurs prétendant qu’un ordinateur ou tout autre appareil présente des problèmes de sécurité ou de performances.

Il est également interdit à Nuvei d’utiliser des informations fausses ou trompeuses pour obtenir des comptes marchands ou des services de traitement des paiements, ainsi que de recourir à des tactiques telles que l’équilibrage de charge pour contourner les systèmes de surveillance de la fraude ou des risques utilisés par les banques et les réseaux de cartes de crédit.

Dans le cadre de l'accord, Nuvei est tenue de débloquer des fonds pour rembourser les consommateurs et de renforcer son contrôle et sa surveillance des commerçants afin d'empêcher les entreprises frauduleuses d'utiliser ses services de paiement.

Plus

Juridictions:France Royaume-Uni Italie Suède États-Unis

Tags: Droit de la vie privée Loi sur la protection des données Loi sur la notification des violations de données Amendes Data Breach RGPD Violations de la vie privée Règlement Fraude bancaire

Prochaines étapes: