Amende de 496000€ pour Ferde As

Amende de € pour Ferde As

Autorité de surveillance norvégienne (Datatilsynet)

Ferde As

Date de l'amende:

27/9/2021

Structure ou entité mise en cause :

Ferde As

Quelle est la base légale ?

Non-respect des principes généraux de traitement des données

Détail des faits

La DPA norvégienne a infligé à Ferde AS, une société de péage norvégienne, une amende de 496 000 euros. Grâce à un rapport sur la société de radiodiffusion publique NRK, la DPA norvégienne a appris que Ferde AS transférait des informations sur les passages dans les péages à un processeur de données en Chine. Sur cette base, la DPA a ouvert une enquête pour savoir si la Ferde a mis en place des routines et des mesures pour assurer une sécurité adéquate des informations transférées vers la Chine. Dans le cadre de ses opérations, la Ferde est chargée d'enregistrer les passages aux postes de péage. L'enregistrement se fait généralement par une puce dans la voiture. Si la puce dans la voiture n'est pas correctement enregistrée ou si la voiture n'a pas de puce, une photo de la plaque d'immatriculation de la voiture est prise. Ces images sont ensuite envoyées à un système de reconnaissance optique automatique de caractères pour lire numériquement la plaque d'immatriculation. Dans les cas où la qualité de l'image n'est pas suffisante pour une interprétation automatique, l'image est transmise pour un traitement manuel. Ferde a confié cette tâche à Unitel Bratseth Services (UBS), qui compte également des employés en Chine. Après ses enquêtes, la DPA a conclu que Ferde AS avait enfreint un certain nombre d'obligations fondamentales du RGPD pendant une période de 1 à 2 ans. D'une part, la Ferde n'avait pas procédé à une évaluation des risques avant de traiter les données personnelles et avant d'utiliser le traitement manuel des images par le processeur. Cependant, cela aurait été nécessaire pour évaluer les risques associés au transfert et déterminer si des mesures de sécurité supplémentaires pouvaient être nécessaires. En outre, la DPA a constaté que la Ferde n'avait pas conclu de contrat de sous-traitance approprié concernant le traitement d'UBS. En conséquence, le transfert des données personnelles en question vers la Chine a eu lieu sans base légale valable. Pour déterminer le montant de l'amende, la DPA a pris en compte le facteur aggravant selon lequel une grande quantité de données personnelles a été affectée par la violation. En revanche, le fait qu'aucun dommage matériel ou immatériel aux parties affectées n'ait pu être prouvé a eu un effet atténuant.

Articles du RGPD concernés :

Télécharger le document officiel de la décision
👈 Revenir aux sanctions RGPD

S'inscrire à la newsletter RGPD de Leto

Chaque semaine, on parle de votre conformité aux règlements de protection des données personnelles.

Merci ! Nous avons bien reçu votre inscription.
Aïe ! Quelque chose n'a fonctionné. Pourriez-vous recommencer?
Rejoindre