La CNIL a sanctionné la société NEXPUBLICA FRANCE d’une amende de 1,7 million d’euros pour ne pas avoir mis en place des mesures de sécurité suffisantes au regard de l’article 32 du RGPD.
NEXPUBLICA FRANCE développe et commercialise PCRM, un logiciel de gestion de la relation avec les usagers dans le domaine de l’action sociale, notamment utilisé par des maisons départementales des personnes handicapées (MDPH).
Dans ce cadre, la société intervient en qualité de sous-traitant, les organismes clients étant responsables des traitements réalisés à partir des données des usagers.
En novembre 2022, des usagers ont signalé qu’ils pouvaient accéder à des documents concernant d’autres personnes. Des violations de données personnelles ont alors été notifiées à la CNIL par plusieurs clients de la société.
⚠️ Au cours de son contrôle, la CNIL a relevé plusieurs faiblesses importantes dans la sécurité du logiciel.
Les vulnérabilités constatées relevaient pour la plupart d’une méconnaissance de principes élémentaires de sécurité et avaient déjà été identifiées dans plusieurs rapports d’audit.
La CNIL a également considéré que NEXPUBLICA FRANCE avait laissé perdurer des problèmes structurels de sécurité, conduisant à un niveau global de protection insuffisant et à l’absence d’un véritable système de « défense en profondeur ». Les correctifs nécessaires n’ont été apportés qu’après la survenue des violations de données.
Cette décision rappelle un point essentiel : être sous-traitant au sens du RGPD ne dispense pas d’obligations propres en matière de sécurité des données personnelles.
Les prestataires qui traitent des données pour le compte de leurs clients doivent mettre en place des mesures techniques et organisationnelles adaptées aux risques, et veiller à leur maintien dans le temps.
La sécurité ne peut donc pas reposer uniquement sur des audits ou des constats : les vulnérabilités identifiées doivent être effectivement corrigées.
📩 Vous êtes sous-traitant au sens du RGPD et souhaitez évaluer la sécurité de vos traitements et votre conformité au RGPD ? Contactez-moi.