L'UE inflige une amende de 890 millions d'euros à Google pour violations de la DMA

Les régulateurs intensifient la pression: l’UE frappe Google d’une amende colossale de 890 M€, tandis que la Corée du Sud vise TikTok et Apple pour des lapsus de confidentialité. Parallèlement, les courtiers en données et les géants du test génétique écopent de sanctions pour leur sécurité bâclée, prouvant que même un traceur GPS automobile peut vous conduire devant les tribunaux.

L'UE inflige une amende colossale de 890 millions d'euros à Google pour violations de la DMA

La Commission européenne a amendé Google à hauteur de 890 millions d’euros (1 milliard de dollars) pour violation du Digital Markets Act (DMA) de l’Union européenne, une loi conçue pour maintenir une concurrence loyale en ligne.

La Commission a déclaré que Google accordait à ses propres services, tels que le shopping, les hôtels, les transports et les résultats sportifs, un meilleur placement dans Google Search que les services concurrents. Elle a également constaté que Google restreignait la capacité des entreprises à diriger les consommateurs vers d’autres canaux d’achat, souvent moins chers.

La Commission a déclaré qu’en tant qu’«acteur clé», Google ne devrait pas accorder un traitement de faveur à ses propres services, mais mettre en œuvre une approche transparente, équitable et non discriminatoire en matière de classement.

L'amende comprend 460 millions d'euros pour avoir favorisé ses services dans les résultats de recherche et 430 millions d'euros pour avoir limité les choix des développeurs d'applications. La Commission a ordonné à Google de remédier à ces problèmes dans un délai de 60 jours, sous peine de sanctions supplémentaires pouvant atteindre 5 % de son chiffre d'affaires mondial.

La Corée du Sud amende TikTok et Apple pour violations des lois sur la vie privée

La Corée du Sud a infligé à TikTok et à deux filiales d’Apple une amende totale de 10,558 milliards de wons (plus de 6,3 millions d’euros) pour violation de la Loi sur la protection des informations personnelles et de l’ancienne Loi sur la promotion de l'utilisation des réseaux d'information et de communication et la protection des informations, invoquant une collecte illégale de données, un manque de transparence et des transferts de données à l’étranger inappropriés.

La Commission de protection des informations personnelles (PIPC) a déclaré que TikTok n'avait pas correctement informé les utilisateurs des transferts de données personnelles à l'étranger, y compris quelles informations étaient partagées et pourquoi. Les régulateurs ont également constaté que la plateforme collectait des données comportementales d'environ 9,45 millions d'utilisateurs sud-coréens via des technologies de suivi sur des sites web et des applications mobiles tiers. Ces données, incluant l'activité de navigation, les achats, les clics et les identifiants d'appareils, étaient liées aux comptes utilisateurs pour de la publicité personnalisée sans avis adéquat.

Deux filiales d’Apple ont été condamnées à une amende totale de 250 millions de wons (environ 149 000 €) après que la PIPC a constaté que des enregistrements vocaux et des transcriptions de Siri avaient été utilisés pour améliorer le service sans fondement juridique approprié. Le régulateur a également indiqué qu’Apple avait transféré des données à caractère personnel vers son siège social aux États-Unis sans informer suffisamment les utilisateurs de la nature et de la finalité de ces transferts. Le montant de l’amende a été réduit après qu’Apple a renforcé ses contrôles en matière de protection de la vie privée, mis à jour ses politiques et élargi les options offertes aux utilisateurs pour la gestion des transcriptions de Siri au cours de l’enquête.

Par ailleurs, TikTok est confronté à des poursuites préliminaires de la part des régulateurs de l’Union européenne concernant des paramètres de compte susceptibles d’exposer les enfants à des prédateurs, au cyberharcèlement et à des contacts indésirables. La plateforme pourrait recevoir une amende pouvant atteindre 6 % de son chiffre d’affaires annuel mondial si les allégations sont retenues. Les régulateurs ont indiqué que les comptes des mineurs peuvent être configurés en mode public, permettant une large visibilité des contenus, et ont recommandé de modifier les paramètres de confidentialité par défaut afin de mieux protéger les jeunes utilisateurs.

L'Espagne inflige une amende de plus de 2 millions d'euros à 23andMe pour la fuite de données de 2023

L'autorité espagnole de protection des données a infligé une amende de 2,4 millions d'euros (environ 2,7 millions de dollars) à 23andMe pour des défaillances en matière de cybersécurité ayant entraîné une importante fuite de données en 2023, touchant 6,9 millions de personnes dans le monde, dont plus de 2 600 en Espagne.

Selon l’autorité de régulation, les dirigeants de l’entreprise n’ont eu connaissance de la violation qu’après qu’une personne a tenté de vendre des données clients volées sur Reddit. Les responsables ont également indiqué que 23andMe avait attendu 12 jours avant d’alerter les autorités espagnoles, retardant ainsi les efforts visant à limiter l’impact de l’attaque.

L’enquête a révélé que 23andMe n’avait pas mis en place des mesures de sécurité basiques, notamment l’authentification multifactorielle obligatoire. L’entreprise n’avait pas non plus limité le volume de données accessibles ou téléchargeables depuis une seule adresse IP, ce qui a facilité la réalisation de l’attaque par «credential stuffing».

Cette brèche a exposé des données sensibles des clients, notamment des données génétiques relatives à l'ascendance. Certaines des données volées ont par la suite été mises en vente sur le Dark Web.

23andMe a dans un premier temps nié qu’une fuite de données ait eu lieu. Après avoir confirmé l’incident, l’entreprise a reproché aux clients l'usage de mots de passe faibles ou réutilisés. Plus tôt ce mois-ci, 23andMe a accepté de verser 18 millions de dollars pour régler des réclamations avec une coalition de 42 procureurs généraux d’États américains concernant cette fuite de données.

Une entreprise viticole portugaise condamnée à une amende de plus de 14 000 € pour surveillance par GPS

Une entreprise viticole portugaise a dû payer une amende de 14 790 € pour avoir utilisé un traceur GPS dans une voiture de service afin de surveiller l'activité professionnelle d'un employé.

Adega Moor, basée près de Lisbonne, exigeait de son employé commercial qu'il transmette des rapports quotidiens sur ses visites clients. Le responsable de l'entreprise comparait ensuite ces rapports aux données GPS du véhicule de l'employé afin de vérifier la cohérence des informations.

L’entreprise a affirmé que le GPS n’était utilisé que ponctuellement pour vérifier une visite client et n’était pas destiné à un suivi régulier. Cependant, la Cour d’appel de Lisbonne a constaté que le responsable consultait de manière répétée l’historique GPS, ce qui en faisait une forme de surveillance continue de la performance.

Le tribunal a statué que cette pratique enfreint l'article 20(1) du Code du travail portugais, qui interdit aux employeurs d'utiliser des technologies de surveillance pour surveiller les performances professionnelles des salariés. Bien que les systèmes GPS puissent être utilisés pour protéger les véhicules et les biens de l'entreprise, ils ne peuvent pas servir à suivre la manière dont les salariés accomplissent leur travail.

Le tribunal a maintenu l’amende et a également précisé que, même si l’employé avait consenti à la surveillance, celle-ci serait restée illégale au regard du droit portugais.

Un courtier en données américain écope d’une amende de 2 millions d’euros pour violation du RGPD

L'autorité italienne de protection des données, le Garante, a infligé une amende de 2 millions d'euros au courtier de données américain Lusha Systems Inc. pour avoir violé les règles de protection des données au titre du RGPD.

Lusha collecte des informations personnelles telles que les titres de poste, les adresses e-mail et les numéros de téléphone à partir de sources incluant le scraping des réseaux sociaux et d’autres courtiers en données. L’entreprise vend ensuite l’accès à ces données à des fins commerciales et anti-fraude.

Le Garante a constaté que Lusha traitait les données de nombreuses personnes en Italie sans base légale valable. Il a également indiqué que l’entreprise n’avait pas fourni d’informations claires sur la manière dont les données à caractère personnel étaient collectées et utilisées.

L'autorité a constaté que la base de données contenait des informations sur le personnel travaillant pour des institutions publiques, les forces de l'ordre et le pouvoir judiciaire.

Le Garante a décidé que les activités de Lusha étaient assujetties au RGPD, même si l'entreprise est implantée hors de l'Union européenne. L'autorité de contrôle a ordonné à Lusha de cesser de traiter les données à caractère personnel des personnes en Italie et de supprimer les informations qu'elle avait collectées.

Prochaines étapes:

• Demandez une démonstration gratuite du produit ou un devis
• Inscrivez-vous à nos webinaires et formations produits.
• Lisez notre blog hebdomadaire Cybercrime Investigations.
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp
• Abonnez-vous à notre Newsletter
• Rejoignez notre programme de partenariat