{"id":14267,"date":"2024-09-03T12:52:43","date_gmt":"2024-09-03T10:52:43","guid":{"rendered":"https:\/\/www.agilit.law\/?p=14267"},"modified":"2024-09-03T13:08:46","modified_gmt":"2024-09-03T11:08:46","slug":"violation-donnees-caractere-personnel-erreur-humaine-salarie-responsabilite-responsable-traitement","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/violation-donnees-caractere-personnel-erreur-humaine-salarie-responsabilite-responsable-traitement\/","title":{"rendered":"Violation de donn\u00e9es \u00e0 caract\u00e8re personnel : l’erreur humaine d’un salari\u00e9 n’exon\u00e8re pas le responsable de traitement de sa responsabilit\u00e9 !"},"content":{"rendered":"

Le 12 ao\u00fbt 2024, l\u2019agence espagnole de protection des donn\u00e9es (AEPD \u2013 Agencia Espa\u00f1ola de Protecci\u00f3n de Datos) a publi\u00e9 une <\/em>d\u00e9cision rendue \u00e0 l\u2019encontre de la soci\u00e9t\u00e9 UNIQLO EUROPE LTD., concernant sa succursale espagnole<\/em><\/a>, suite \u00e0 une violation de donn\u00e9es \u00e0 caract\u00e8re personnel ayant pour origine l\u2019erreur humaine d\u2019un salari\u00e9 de la soci\u00e9t\u00e9. La proc\u00e9dure engag\u00e9e par l\u2019AEPD a donn\u00e9 lieu au prononc\u00e9 d\u2019une sanction p\u00e9cuniaire \u00e0 l\u2019encontre d\u2019UNIQLO.<\/em><\/p>\n

Cette d\u00e9cision permet \u00e0 l\u2019agence espagnole de protection des donn\u00e9es de rappeler une obligation fondamentale issue du RGPD : il incombe au responsable de traitement de prendre les mesures appropri\u00e9es pour prot\u00e9ger la s\u00e9curit\u00e9, et notamment la confidentialit\u00e9, des donn\u00e9es \u00e0 caract\u00e8re personnel trait\u00e9es par ses salari\u00e9s.<\/em><\/p>\n

L\u2019importance d\u2019une formation ad\u00e9quate des employ\u00e9s au respect des principes applicables en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel et de cybers\u00e9curit\u00e9 est \u00e9galement mise en \u00e9vidence par cette d\u00e9cision puisque, selon l\u2019AEPD, l\u2019erreur humaine d\u2019un salari\u00e9 ne saurait exon\u00e9rer le responsable de traitement de sa responsabilit\u00e9 en cas de survenance d\u2019une violation de donn\u00e9es \u00e0 caract\u00e8re personnel.<\/em><\/p>\n

 <\/p>\n

*\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 *<\/p>\n

*<\/p>\n

 <\/p>\n

Suite \u00e0 la fin de son contrat de travail, un employ\u00e9 de la soci\u00e9t\u00e9 UNIQLO a, le 8 ao\u00fbt 2022, demand\u00e9 au d\u00e9partement Ressources Humaines de son ancien employeur sa fiche de paie du mois de juillet 2022. En r\u00e9ponse \u00e0 sa demande, l\u2019employ\u00e9 a re\u00e7u un courrier \u00e9lectronique de la part d\u2019un salari\u00e9 du d\u00e9partement Ressources Humaines d\u2019UNIQLO comportant en pi\u00e8ce jointe un document PDF dans lequel figuraient des informations relatives \u00e0 sa fiche de paie, mais \u00e9galement des informations relatives \u00e0 celles de 446 autres employ\u00e9s de la soci\u00e9t\u00e9 !<\/p>\n

Le document PDF re\u00e7u par l\u2019ancien salari\u00e9 comprenait, entre autres donn\u00e9es, les noms des salari\u00e9s, le num\u00e9ro de leur carte d\u2019identit\u00e9, leur num\u00e9ro d\u2019affiliation \u00e0 la s\u00e9curit\u00e9 sociale, leur num\u00e9ro de compte bancaire ou encore le montant de leur salaire.<\/p>\n

Le 31 mars 2023, l\u2019employ\u00e9 a d\u00e9pos\u00e9 une plainte aupr\u00e8s de l\u2019AEPD.<\/p>\n

La notification formelle de la violation \u00e0 l\u2019AEPD n\u2019a \u00e9t\u00e9 faite par UNIQLO que plus de 15 jours apr\u00e8s le d\u00e9p\u00f4t de la plainte pr\u00e9cit\u00e9e, et l\u2019information \u00e0 l’attention des personnes concern\u00e9es pr\u00e8s d\u2019un mois suivant cette plainte.<\/p>\n

Dans le cadre de la proc\u00e9dure engag\u00e9e devant l\u2019AEPD, UNIQLO a expliqu\u00e9 que la violation de donn\u00e9es avait \u00e9t\u00e9 caus\u00e9e par une erreur humaine au sein du d\u00e9partement Ressources Humaines, et que la notification \u00e0 l\u2019AEPD ainsi que l\u2019information des personnes concern\u00e9es s’agissant de cette violation n’avaient pas pu \u00eatre r\u00e9alis\u00e9es dans les d\u00e9lais pr\u00e9vus par le RGPD car l’employ\u00e9 \u00e0 l\u2019origine de cette erreur n’avait pas inform\u00e9 son sup\u00e9rieur hi\u00e9rarchique de l\u2019erreur commise, et UNIQLO n\u2019avait donc eu connaissance de la violation de donn\u00e9es qu\u2019\u00e0 la r\u00e9ception du courrier de l\u2019AEPD l\u2019informant de la plainte d\u00e9pos\u00e9e par l\u2019ancien salari\u00e9.<\/p>\n

UNIQLO indiquait par ailleurs avoir mis en \u0153uvre des mesures visant \u00e0 garantir qu\u2019un tel incident ne se reproduise pas (telles que la formation des membres du personnel concernant la cybers\u00e9curit\u00e9 et la protection des donn\u00e9es \u00e0 caract\u00e8re personnel, ou encore la r\u00e9vision des proc\u00e9dures et politiques internes en mati\u00e8re de s\u00e9curit\u00e9 des donn\u00e9es).<\/p>\n

 <\/p>\n

1. Sur la violation de l\u2019article 5 du RGPD<\/strong><\/h2>\n

L\u2019AEPD consid\u00e8re qu\u2019UNIQLO n\u2019a pas garanti la s\u00e9curit\u00e9, et notamment la confidentialit\u00e9, des donn\u00e9es \u00e0 caract\u00e8re personnel de ses employ\u00e9s puisqu\u2019un tiers non autoris\u00e9 a pu y avoir acc\u00e8s.<\/p>\n

Aussi, cette autorit\u00e9 constate une violation de l\u2019article 5, f) du RGPD<\/a> par UNIQLO, qui impose que les donn\u00e9es \u00e0 caract\u00e8re personnel soient \u00ab\u00a0trait\u00e9es de fa\u00e7on \u00e0 garantir [leur] s\u00e9curit\u00e9 appropri\u00e9e, y compris la protection contre le traitement non autoris\u00e9 ou illicite et contre la perte, la destruction ou les d\u00e9g\u00e2ts d’origine accidentelle, \u00e0 l’aide de mesures techniques ou organisationnelles appropri\u00e9es (int\u00e9grit\u00e9 et confidentialit\u00e9)<\/em>\u00a0\u00bb,<\/p>\n

Au titre de ce manquement, l\u2019AEPD prononce \u00e0 l\u2019\u00e9gard d\u2019UNIQLO une sanction s\u2019\u00e9levant \u00e0 300\u00a0000 euros.<\/p>\n

 <\/p>\n

2. Sur la violation de l’article 32 du RGPD<\/strong><\/h2>\n

L\u2019AEPD constate un manquement de la part d\u2019UNIQLO \u00e0 l\u2019article 32 du RGPD<\/a> qui impose au responsable de traitement de mettre en \u0153uvre \u00ab\u00a0les mesures techniques et organisationnelles appropri\u00e9es afin de garantir un niveau de s\u00e9curit\u00e9 [des donn\u00e9es \u00e0 caract\u00e8re personnel] adapt\u00e9 au risque<\/em>\u00a0\u00bb.<\/p>\n

En effet, l\u2019AEPD constate le d\u00e9faut d\u2019adoption de mesures techniques et organisationnelles appropri\u00e9es par UNIQLO, ce qui a permis \u00e0 un tiers non autoris\u00e9 d\u2019acc\u00e9der \u00e0 des donn\u00e9es \u00e0 caract\u00e8re personnel qu\u2019il n\u2019\u00e9tait pas autoris\u00e9 \u00e0 consulter.<\/p>\n

L\u2019AEPD rel\u00e8ve \u00e9galement que, bien qu\u2019UNIQLO justifie d\u2019une s\u00e9rie de mesures techniques et organisationnelles visant \u00e0 pr\u00e9server la s\u00e9curit\u00e9 de ses syst\u00e8mes d\u2019information, les moyens mis en \u0153uvre n\u2019avaient pas permis d\u2019\u00e9viter la violation de donn\u00e9es \u00e0 caract\u00e8re personnel ayant fait l\u2019objet de la plainte.<\/p>\n

L\u2019APED souligne en outre que l\u2019attitude n\u00e9gligente de l\u2019employ\u00e9 du d\u00e9partement Ressources Humaines eu \u00e9gard aux donn\u00e9es relatives aux fiches de paie des employ\u00e9s concern\u00e9s n\u2019exon\u00e9rait pas UNIQLO de sa responsabilit\u00e9<\/strong>, conform\u00e9ment \u00e0 la jurisprudence du \u00ab\u00a0Tribunal Supremo<\/em>\u00a0\u00bb espagnol qui a confirm\u00e9 la responsabilit\u00e9 d\u2019une entreprise pour les actes de n\u00e9gligence d\u2019un employ\u00e9 ayant enfreint les r\u00e8gles applicables en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n

L\u2019AEPD caract\u00e9rise donc un manquement \u00e0 l\u2019article 32 du RGPD, imputable \u00e0 UNIQLO, et prononce une amende s\u2019\u00e9levant \u00e0 150\u00a0000 euros \u00e0 ce titre, ainsi que l\u2019obligation pour UNIQLO d\u2019adopter les mesures techniques et organisationnelles n\u00e9cessaires pour garantir la s\u00e9curit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel de ses employ\u00e9s.<\/strong><\/p>\n

 <\/p>\n

UNIQLO ayant reconnu sa responsabilit\u00e9 et proc\u00e9d\u00e9 au paiement volontaire de l\u2019amende, l\u2019AEPD a toutefois ramen\u00e9 le montant total de cette derni\u00e8re \u00e0 270\u00a0000 euros.<\/p>\n

 <\/p>\n

*\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 *<\/p>\n

*<\/p>\n

 <\/p>\n

Bien que cette d\u00e9cision ait \u00e9t\u00e9 rendue par l\u2019AEPD, l\u2019autorit\u00e9 espagnole en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel, elle doit \u00eatre regard\u00e9e avec attention au regard des principes fondamentaux qu\u2019elle rappelle et qui font \u00e9galement l\u2019objet d\u2019un contr\u00f4le accru, en France, de la part de la Commission nationale de l\u2019informatique et des libert\u00e9s (ou Cnil).<\/p>\n

Il ressort de cette d\u00e9cision de l\u2019AEPD qu\u2019il est primordial pour les entreprises, en tant que responsables de traitements, d\u2019impl\u00e9menter les mesures ad\u00e9quates pour prot\u00e9ger les donn\u00e9es \u00e0 caract\u00e8re personnel de leurs employ\u00e9s, ainsi que de faire preuve d\u2019une vigilance accrue quant aux traitements de donn\u00e9es effectu\u00e9s par leurs salari\u00e9s et dont elles demeurent responsables.<\/p>\n

 <\/p>\n

Il est donc indispensable pour tout responsable de traitement de\u00a0:<\/strong><\/p>\n