Le Bureau du commissaire \u00e0 l’information r\u00e9duit consid\u00e9rablement l’amende pr\u00e9vue suite aux soumissions de BA et \u00e0 un examen complet des questions.<\/p>\n
En septembre 2018, nous avions \u00e9crit au sujet de BA subissant une violation de donn\u00e9es \u00e0 grande \u00e9chelle suite \u00e0 une attaque criminelle sophistiqu\u00e9e qui impliquait le mauvais acteur compromettant les syst\u00e8mes de BA en utilisant abusivement des identifiants l\u00e9gitimes que BA avait donn\u00e9s \u00e0 un membre du personnel d’un fournisseur de services tiers. \u00c0 la suite de la violation, l’ICO a annonc\u00e9 son intention d’infliger une amende de 183 millions de livres \u00e0 BA, cependant, suite \u00e0 trois s\u00e9ries de soumissions de BA, l’ICO a maintenant \u00e9mis un avis qu’il inflige une amende de 20 millions de livres \u00e0 BA (initialement r\u00e9duite \u00e0 30 millions de livres puis \u00e0 20 millions de livres incluant une d\u00e9duction COVID-19 de 3 millions de livres) pour la violation de donn\u00e9es qui a affect\u00e9 plus de 400 000 clients de BA ; et a permis un acc\u00e8s ill\u00e9gal \u00e0 plus de 100 000 d\u00e9tails de cartes de cr\u00e9dit. <\/p>\n
Bien que la r\u00e9duction de l’amende de plus de 160 millions de livres soit per\u00e7ue comme un succ\u00e8s par BA, compte tenu des d\u00e9fis plus larges auxquels fait face l’industrie a\u00e9ronautique, l’amende reste ind\u00e9sirable. Cela dit, du point de vue d’un observateur ext\u00e9rieur, 20 millions de livres sembleraient une sanction et un moyen de dissuasion beaucoup plus importants, si l’ICO n’avait pas initialement indiqu\u00e9 un chiffre beaucoup plus \u00e9lev\u00e9. <\/p>\n
Les probl\u00e8mes de BA d\u00e9coulent du fait d’avoir des syst\u00e8mes informatiques en place qui ne fournissaient pas un degr\u00e9 de s\u00e9curit\u00e9 ad\u00e9quat, particuli\u00e8rement compte tenu du volume et de la nature des donn\u00e9es personnelles trait\u00e9es. De plus, des informations \u00e9taient conserv\u00e9es dont BA n’avait pas besoin (ou n’avait m\u00eame pas l’intention de conserver). BA n’a m\u00eame pas d\u00e9couvert elle-m\u00eame la violation de s\u00e9curit\u00e9, indiquant une surveillance r\u00e9seau inad\u00e9quate, mais a plut\u00f4t \u00e9t\u00e9 inform\u00e9e d’une anomalie par un tiers observateur qui a d\u00e9clench\u00e9 ses efforts de r\u00e9ponse. Il y a toujours un d\u00e9fi \u00e0 se pr\u00e9parer et \u00e0 pr\u00e9venir toutes les attaques possibles d’acteurs malveillants, cependant l’approche de BA \u00e9tait consid\u00e9r\u00e9e comme inad\u00e9quate, ce qui a conduit \u00e0 cette amende. BA a le droit de faire appel donc ce processus pourrait ne pas \u00eatre encore termin\u00e9. <\/p>\n
Pour \u00e9viter de se retrouver dans une position similaire, il est essentiel que les entreprises aient les syst\u00e8mes techniques et organisationnels en place pour prot\u00e9ger les donn\u00e9es personnelles qu’elles traitent et qu’elles d\u00e9ploient des outils de surveillance automatis\u00e9s scannant les anomalies syst\u00e8me qui peuvent indiquer qu’une violation de donn\u00e9es personnelles se produit. De telles mesures devraient \u00eatre proportionn\u00e9es \u00e0 la nature (par exemple volume, risque, sensibilit\u00e9) des donn\u00e9es personnelles trait\u00e9es. Il convient \u00e9galement de consid\u00e9rer de ne conserver les donn\u00e9es personnelles que le temps n\u00e9cessaire avec une op\u00e9rationnalisation appropri\u00e9e des politiques de conservation des donn\u00e9es. <\/p>\n
BA obtient du cr\u00e9dit pour sa r\u00e9ponse \u00e0 la violation une fois d\u00e9couverte. Sous le RGPD, compte tenu de la gravit\u00e9 de la violation et des risques pour les clients, BA \u00e9tait oblig\u00e9e de notifier rapidement l’ICO, ce qu’elle a fait, sugg\u00e9rant que ses processus internes autour du signalement de violation de donn\u00e9es \u00e9taient \u00e0 jour. Comme mentionn\u00e9 dans notre article pr\u00e9c\u00e9dent, le signalement de violation de donn\u00e9es (introduit par le RGPD) a apport\u00e9 un nouvel angle \u00e0 la fa\u00e7on dont les organisations r\u00e9pondent aux violations de donn\u00e9es. Les violations n’ont pas n\u00e9cessairement besoin d’\u00eatre signal\u00e9es \u00e0 moins qu’elles ne soient de nature grave mais lorsqu’elles sont signalables, il y a des d\u00e9lais serr\u00e9s pour l’action. Compte tenu des d\u00e9lais requis, le temps qu’il peut falloir pour identifier la nature d’une violation et si elle est signalable, avoir des politiques, proc\u00e9dures et lignes de signalement claires \u00e9vite la confusion, permet aux violations signalables d’\u00eatre correctement identifi\u00e9es, et att\u00e9nue la publicit\u00e9 et les retomb\u00e9es r\u00e9glementaires d’une approche confuse ou non conforme. Les organisations avec des programmes de protection des donn\u00e9es matures organisent des simulations r\u00e9guli\u00e8res de violation de donn\u00e9es personnelles pour r\u00e9p\u00e9ter leurs temps de r\u00e9ponse et leur efficacit\u00e9. <\/p>\n
\u00catre pr\u00e9par\u00e9 \u00e0 g\u00e9rer une violation implique d’identifier les personnes au sein de votre organisation qui ont la responsabilit\u00e9 de la protection des donn\u00e9es, de s’assurer que les employ\u00e9s connaissent l’importance de signaler une violation, d’\u00e9tablir des crit\u00e8res cl\u00e9s pour la prise de d\u00e9cision et de tenir un registre non seulement des violations signalables mais aussi des violations non signalables qui inclut votre justification pour ne pas signaler.<\/p>\n
\u00c9tant donn\u00e9 que deux ans et demi se sont \u00e9coul\u00e9s depuis l’introduction du RGPD, il pourrait \u00eatre opportun de consid\u00e9rer r\u00e9viser les politiques et proc\u00e9dures de votre organisation autour de la protection des donn\u00e9es et si beaucoup a chang\u00e9 dans la fa\u00e7on dont vous g\u00e9rez les donn\u00e9es personnelles depuis qu’elles ont \u00e9t\u00e9 mises en place. Les organisations sophistiqu\u00e9es engagent de plus en plus des hackers \u00ab white hat \u00bb pour tester leur s\u00e9curit\u00e9 des donn\u00e9es afin d’identifier les points faibles avant que les mauvais acteurs ne le fassent. Compte tenu de la nature continue du travail vers la conformit\u00e9 RGPD, si vos politiques et proc\u00e9dures de r\u00e9ponse aux violations de donn\u00e9es n’ont pas \u00e9t\u00e9 examin\u00e9es depuis qu’elles ont \u00e9t\u00e9 assembl\u00e9es, le rappel des implications financi\u00e8res et de publicit\u00e9 des \u00e9checs dans ce domaine pourrait inciter \u00e0 une r\u00e9vision attendue depuis longtemps ! <\/p>\n