L'autorité suédoise de protection des données inflige une amende de 160 000 EUR à Miljödata i Karlskrona pour mesures de sécurité insuffisantes après une cyberattaque
L'autorité suédoise de protection des données a infligé, le 22 septembre 2026, une amende administrative de 1 800 000 SEK (environ 160 000 EUR) au fournisseur de services informatiques Miljödata i Karlskrona pour des mesures de sécurité techniques et organisationnelles insuffisantes. Cette décision fait suite à une cyberattaque survenue en août 2025, qui a compromis les données personnelles de 2,2 millions de personnes, y compris des informations sensibles relatives aux congés de maladie et aux incidents impliquant des étudiants.
L'autorité suédoise de protection des données a déterminé que Miljödata avait agi par négligence en ne maintenant pas un niveau de sécurité technique et organisationnel suffisamment élevé, en particulier compte tenu des types de données personnelles qu'elle traitait. L'enquête a révélé que l'entreprise n'avait pas effectué de vérifications adéquates lors de l'installation de nouveaux logiciels, ce qui constitue une lacune critique dans sa posture de sécurité. De plus, Miljödata ne disposait pas d'une surveillance automatisée en temps réel de ses systèmes pour détecter les intrusions ou les activités suspectes, ce qui aurait été essentiel pour une détection rapide des activités suspectes. Les données compromises comprenaient des numéros d'identification personnelle, des coordonnées et des données sensibles concernant les congés de maladie, la réadaptation et les incidents liés aux étudiants dans les écoles. L'autorité suédoise de protection des données a qualifié cette négligence de violation de l'Article 32, paragraphe 1, du RGPD, ce qui a conduit à l'amende administrative.
Les organisations traitant de grands volumes de données personnelles, en particulier des catégories sensibles, font constamment l'objet d'un examen minutieux concernant leurs mesures de sécurité, comme en témoigne l'amende infligée par l'autorité suédoise de protection des données à Miljödata.
La décision d'amende administrative de l'autorité suédoise de protection des données
- Qui cela engage
- Toutes les organisations traitant des données personnelles au sein de l'UE sont légalement tenues par l'Article 32, paragraphe 1, du RGPD de mettre en œuvre des mesures techniques et organisationnelles appropriées.
- Ce qui a changé
- La décision de l'autorité suédoise de protection des données a confirmé que l'absence de vérifications logicielles adéquates et le manque de surveillance automatisée en temps réel constituent une violation de l'Article 32, paragraphe 1, du RGPD.
- Ce qu'il faut surveiller
- Les organisations devraient revoir leurs protocoles de sécurité pour les nouvelles installations logicielles et envisager de mettre en œuvre une surveillance automatisée en temps réel pour détecter les intrusions, car ce sont des défaillances spécifiques identifiées par l'autorité suédoise de protection des données.
- Ce que cela ne signifie pas
- Cette décision ne signifie pas que chaque cyberattaque entraîne automatiquement une amende ; elle met plutôt en évidence les lacunes spécifiques en matière de mesures de sécurité qui ont conduit à l'action coercitive de l'autorité suédoise de protection des données.
À transmettre à votre équipe
L'autorité suédoise de protection des données a infligé une amende d'environ 160 000 EUR à Miljödata i Karlskrona pour des mesures de sécurité techniques et organisationnelles insuffisantes, citant spécifiquement des défaillances dans les vérifications de nouveaux logiciels et la surveillance des systèmes en temps réel, ce qui s'applique à toutes les organisations traitant des données personnelles.