Numéro 15 | Octobre 2026, Semaine 4

L'autorité italienne de protection des données inflige une amende à un éditeur pour des photos de la scène du crime

Compétence

Italie

Nom légal du contrevenant

Cairo Editore

Domicile de l'infracteur

Italie

Infraction présumée

Atteinte à la vie privée

Action d'exécution

Amende non divulguée

Statut de l'affaire

Une mesure administrative

L’Autorité italienne de protection des données a infligé une amende à la maison d’édition Cairo Editore pour avoir publié dans son magazine hebdomadaire des images explicites du corps ensanglanté d’une victime d’un crime.

La décision, rendue le 23 septembre 2026, fait suite à une plainte déposée par la famille de la victime. Le magazine a publié les photos le 26 mars 2026, montrant l’endroit où elle avait été retrouvée morte et son corps gisant sur les marches, une partie de son visage couverte. La famille a déclaré que ces images leur avaient causé une profonde détresse et avaient porté atteinte à la dignité de leur fille et à sa mémoire.

L'autorité a estimé que ces images n'étaient pas nécessaires au reportage sur l'affaire et n'apportaient aucune information nouvelle significative. Elle a déclaré que cette publication enfreignait la réglementation relative aux données à caractère personnel.

Le régulateur a également souligné que les journalistes doivent respecter la dignité des victimes et de leurs familles, même après le décès de la personne. Il a averti qu’une attention médiatique excessive peut franchir la limite entre l’information et le sensationnalisme.

Dans une décision distincte, l'autorité a également infligé une amende à une chaîne YouTube pour un contenu similaire lié à cette affaire.

Le Garante n’a pas divulgué le montant des amendes infligées dans chaque cas.

L’Ofqual inflige une amende de 150 000 £ à l’ABRSM pour des manquements en matière de conservation des données

Compétence

Le Royaume-Uni

Nom légal du contrevenant

ABRSM

Domicile de l'infracteur

Le Royaume-Uni

Infraction présumée

Défaillance de conservation des données

Action d'exécution

Une amende de 150 000 £

Statut de l'affaire

Une mesure administrative

Ofqual (The Office of Qualifications and Examinations Regulation), le régulateur britannique des qualifications, a infligé une amende de 150 000 £ (177 900 €) à l'Associated Board of the Royal Schools of Music (ABRSM) pour ne pas avoir conservé correctement les dossiers d'évaluation et les preuves. L'ABRSM délivre des qualifications musicales par le biais d'évaluations en présentiel et numériques.

L’Ofqual a constaté trois incidents entre 2024 et 2025 au cours desquels des enregistrements d’évaluation importants ont été perdus ou supprimés. Dans le premier cas, 8 539 enregistrements audio n’ont pas été conservés en raison d’une erreur logicielle, affectant 20 apprenants ayant demandé un réexamen de leurs notes. Lors d’un autre incident, les enregistrements et les feuilles de notation de 16 apprenants ont été supprimés par erreur, retardant la publication des résultats et compliquant la contestation de leurs notes.

Le troisième incident concernait un cas présumé de faute professionnelle lié à un tuteur à l'étranger qui avait inscrit 710 élèves à des examens. Cependant, 231 enregistrements manquaient, limitant la capacité de l'ABRSM à mener une enquête complète sur l'affaire.

Ofqual a également constaté qu'environ 72 000 certificats avaient été délivrés avec des intitulés de qualification erronés, créant un risque de confusion pour les apprenants, les employeurs et les prestataires de formation. L'ABRSM a ensuite corrigé l'erreur, informé les apprenants et proposé des certificats de remplacement.

Dans le cadre du règlement, l’ABRSM paiera l’amende de 150 000 £, versera 10 000 £ (11 860 €) pour couvrir les frais d’enquête d’Ofqual et mandatera un audit indépendant de ses systèmes de conservation des dossiers.

Des entreprises de santé devront verser 2,7 millions de dollars après une fuite de données ayant exposé des informations sur les patients

Compétence

Les États-Unis

Nom légal du contrevenant

BCHP ; XTIUM

Domicile de l'infracteur

Les États-Unis

Infraction présumée

Défaut de protection des données des patients

Action d'exécution

Une amende de 2,7 millions de dollars

Statut de l'affaire

Une mesure administrative

Boston Children’s Health Physicians (BCHP) et la société informatique XTIUM devront verser 2,7 millions de dollars à la suite d’une fuite de données ayant exposé les informations personnelles d’environ 825 000 résidents de New York et 62 871 résidents du Connecticut.

La brèche s'est produite en août 2024, lorsque des pirates informatiques ont accédé aux systèmes de XTIUM et ont volé des informations de 18 clients, dont BCHP.

Les données volées comprenaient des informations personnelles, médicales et financières. Plus de 170 000 résidents de New York ont vu leurs numéros de Social Security et de permis de conduire exposés. L’enquête a révélé que BCHP n’a pas mis en œuvre des mesures de sécurité de base, malgré sa connaissance des problèmes découverts lors d’un audit de 2023. L’entreprise a également laissé une archive non chiffrée contenant plus d’un million de dossiers de facturation de patients, largement non protégée.

Il a également été constaté que XTIUM présentait des contrôles de sécurité faibles et une surveillance insuffisante pour détecter les activités suspectes. En vertu de l’accord, les entreprises devront payer 2,1 millions de dollars à New York et 540 000 dollars au Connecticut. Elles sont également tenues de renforcer leurs systèmes de cybersécurité, d’améliorer la surveillance et de développer de meilleurs plans pour répondre aux menaces futures.

La Roumanie inflige une amende de 6 000 € à Myconnector Platform après une cyberattaque

Compétence

Roumanie

Nom légal du contrevenant

Myconnector
Platform SRL

Domicile de l'infracteur

Roumanie

Infraction présumée

Violation du GDPR

Action d'exécution

Une amende de 31 451 lei

Statut de l'affaire

Une mesure administrative

L’Autorité nationale de contrôle du traitement des données à caractère personnel de Roumanie a infligé une amende de 31 451 lei (6 000 €) à Myconnector Platform SRL, plateforme technologique et de gestion d’événements, pour avoir enfreint l’article 32, paragraphe 1, point b), et l’article 32, paragraphe 2, du règlement général sur la protection des données (RGPD), règlement (UE) 2016/679.

L'enquête a été initiée après que l'entreprise a signalé une violation de données à caractère personnel en vertu de l'article 33 du RGPD. Les autorités ont constaté qu'une cyberattaque sur le serveur de test de l'entreprise avait permis à un tiers non autorisé d'accéder aux données à caractère personnel des utilisateurs.

Les informations exposées comprenaient des adresses e-mail, des numéros de téléphone, des noms complets, des codes numériques personnels et des informations relatives aux documents d'identité. L'enquête a également révélé que l'entreprise avait utilisé des données réelles au lieu de données fictives lors des tests de son application MyConnector Platform.

Selon l'autorité, l'incident a résulté d'un défaut de mise en œuvre de mesures techniques et organisationnelles de sécurité appropriées pour protéger les données à caractère personnel et garantir la confidentialité et l'intégrité de ses systèmes, conformément à l'article 32 du RGPD.

Outre l'amende, l'autorité a ordonné à l'entreprise, en vertu de l'article 58, paragraphe 2, point d), du RGPD, de n'utiliser que des données fictives dans les environnements de développement et de test.

L'ICO reproche à la Met Police le partage illégal de données à caractère personnel

Compétence

Le Royaume-Uni

Nom légal du contrevenant

MPS

Domicile de l'infracteur

Le Royaume-Uni

Infraction présumée

Violation de la protection des données à caractère personnel

Action d'exécution

Action réglementaire — aucune amende annoncée

Statut de l'affaire

Une mesure administrative

La Commission d'informatique du Royaume-Uni (ICO) a émis une réprimande et une mise en demeure au Metropolitan Police Service (MPS) après que des agents et des employés ont partagé des informations personnelles via une plateforme de renseignement criminel non approuvée.

L’ICO a constaté que la plateforme avait été utilisée entre mars 2023 et septembre 2024 sans mesures de protection des données ni supervision adéquates. Environ 500 comptes ont été créés, dont 375 étaient activement utilisés à des fins policières.

Entre janvier et septembre 2024, des données à caractère personnel concernant 179 personnes, dont trois mineures, ont été téléversées afin d’aider à identifier des suspects de vol à l’étalage. Ces données comprenaient les noms, les dates de naissance et, dans un petit nombre de cas, les adresses domicile.

L'enquête a révélé que la police avait partagé des données à caractère personnel illicitement, n'avait pas effectué l'évaluation de protection des données requise et n'avait pas mis en place de mesures appropriées pour contrôler l'utilisation de technologies tierces.

Le MPS a suspendu la plateforme en septembre 2024 et l’a réintroduite en janvier 2026 après des modifications, notamment une supervision renforcée, la formation du personnel et des contrôles contractuels plus stricts.

Toutefois, l’ICO a déclaré que des mesure supplémentaires étaient nécessaires pour traiter les préoccupations plus vastes concernant la manière dont la police approuve et gère les technologies de tiers.