TL;DR
Par une décision du 28 juillet 2026, publiée par le CEPD le 8 octobre, l'autorité grecque de protection des données a sanctionné le ministère de la Cohésion sociale et de la Famille (responsable) de 200 000 euros et E.E.T.A.A. S.A., agence de développement local gérant ses systèmes (sous-traitant), de 150 000 euros. Le ministère avait notifié la violation et informé les personnes correctement ; la sanction porte sur la sécurité et la relation responsable-sous-traitant. Articles : 25, 28, 32, 33 et 34 du RGPD.
Ce qui s'est passé
Une cyberattaque de grande ampleur a touché les systèmes d'E.E.T.A.A., utilisés pour mettre en œuvre les programmes du ministère. Les bases contenaient des données d'un très grand nombre de personnes : identification et coordonnées, données financières et de santé.
Ce que l'autorité a constaté
- NOTIFICATION CORRECTE. Le ministère, responsable, a respecté ses obligations de notification à l'autorité et d'information des personnes (art. 33 et 34).
- SYSTÈMES DÉPASSÉS. L'attaque a réussi parce qu'E.E.T.A.A. utilisait encore des systèmes obsolètes et des mesures de sécurité inadéquates, tout en connaissant les risques (art. 32).
- RELATION NON ENCADRÉE. Manquements à l'article 28 : la relation responsable-sous-traitant n'était pas encadrée comme l'exige le RGPD.
- SANCTIONS DES DEUX. 200 000 euros pour le ministère et 150 000 pour E.E.T.A.A., avec l'injonction de conclure un contrat article 28 et d'achever les mesures de sécurité prévues.
Bien notifier ne sauve pas le responsable
La gestion de la violation était correcte, et pourtant le responsable paie. La raison est en amont : l'article 28 impose de ne recourir qu'à des sous-traitants offrant des garanties suffisantes et d'encadrer la relation par écrit. Un prestataire aux systèmes obsolètes, sans contrat qui l'engage, est un risque du responsable avant d'être celui du prestataire.
Ce que cela signifie pour le DPO
Quatre contrôles
Un : pour chaque prestataire traitant des données pour le client, un contrat article 28 signé, même si c'est un organisme public. Deux : dans le contrat, des mesures de sécurité minimales et le droit de les vérifier, y compris la mise à jour des systèmes. Trois : une revue périodique documentée des prestataires traitant des données de santé ou financières. Quatre : si le prestataire connaît un risque sans le traiter, le responsable doit le savoir et décider : c'est le moment d'un avis écrit du DPO.
L'affaire est utile pour une autre raison : elle montre que les autorités sanctionnent directement le sous-traitant lorsque la cause de la violation lui revient. Le sous-traitant n'est pas « couvert » par le responsable : il a ses propres obligations de sécurité et en répond.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
