TL;DR
Le 22 septembre 2026, l'autorité suédoise de protection des données (IMY) a infligé à Miljödata i Karlskrona AB une amende de 1,8 million de couronnes pour manquement à l'art. 32, § 1, du RGPD. En août 2025, un attaquant avait dérobé des données et les avait publiées sur le darknet ; selon la société, 2,2 millions de personnes étaient concernées : numéros d'identité personnels, coordonnées, données sur les arrêts maladie, la réadaptation et des incidents scolaires. Deux défaillances retenues : des contrôles insuffisants lors de l'installation de nouveaux logiciels et aucune surveillance automatique en temps réel pour détecter les intrusions. Comportement jugé négligent. Parmi les clients touchés, la majorité des communes suédoises, plusieurs régions et agences de l'État : l'IMY a ouvert des contrôles sur deux communes et une région.
Ce qui s'est passé
Miljödata fournit des systèmes d'information utilisés par des organismes publics et des entreprises privées. En août 2025, un attaquant a pénétré ses systèmes, copié une grande quantité de données personnelles et les a publiées sur le darknet. La société elle-même a estimé à 2,2 millions le nombre de personnes concernées : une part importante de la population suédoise. Les données comprenaient des informations particulièrement sensibles, comme les arrêts maladie, les parcours de réadaptation des salariés et les signalements d'incidents dans les écoles.
Les deux défaillances retenues
- AUCUN CONTRÔLE DES NOUVEAUX LOGICIELS. La société ne vérifiait pas suffisamment ce qui était installé sur ses systèmes : l'une des voies les plus courantes par lesquelles un attaquant entre et s'installe.
- AUCUNE ALERTE EN TEMPS RÉEL. Il manquait une surveillance automatique capable de signaler intrusions et activités suspectes au moment où elles se produisent.
- L'ÉTALON, C'EST LA NATURE DES DONNÉES. L'IMY a jugé la sécurité inadaptée à ce que traitait le prestataire : avec des données de santé et scolaires de millions de personnes, le niveau requis est plus élevé.
- UNE AMENDE POUR NÉGLIGENCE. Le comportement a été qualifié de négligent, et le manquement est celui de l'art. 32, § 1, qui s'impose aux responsables comme aux sous-traitants.
Les clients aussi sont examinés
L'amende frappe le prestataire, mais l'histoire ne s'arrête pas là. L'IMY a ouvert des contrôles sur deux communes et une région qui utilisaient les systèmes de Miljödata. Qui confie des données à un prestataire doit en choisir un présentant des garanties suffisantes (art. 28, § 1) et le vérifier dans la durée : le contrat ne transfère pas la responsabilité.
Pourquoi un montant « modeste » compte
Rapporté au nombre de personnes touchées, 1,8 million de couronnes peut sembler peu. La valeur de la décision est ailleurs : l'autorité désigne deux mesures précises dont l'absence suffit à violer l'art. 32. Ce sont les mêmes qu'un DPO peut demander à un prestataire dès demain matin, et celles qu'une autorité regardera en premier après la prochaine attaque.
Ce que cela signifie pour le DPO
Cinq questions aux prestataires
Un : qui peut installer des logiciels sur les systèmes qui traitent nos données, et avec quel contrôle préalable ? Deux : existe-t-il une surveillance automatique des intrusions 24 h/24, et qui reçoit l'alerte ? Trois : le contrat de l'art. 28 décrit-il des mesures concrètes ou seulement des « mesures appropriées » ? Quatre : sous combien d'heures le prestataire nous avertit-il d'une violation ? Cinq : quand avons-nous vérifié pour la dernière fois, avec des preuves et non des déclarations ? Dans DPO Workspace, la procédure de violation tout juste refaite compare le délai des contrats prestataires avec les 72 heures du responsable.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
