La sécurité des données au regard des articles 29 et 32 – Délibération de la formation restreinte n° SAN-2022-009 du 15 avril 2022 concernant la société x

La sécurité des données au regard des articles 29 et 32 – Délibération de la formation restreinte n° SAN-2022-009 du 15 avril 2022 concernant la société x : Le sous-traitant ne peut traiter les données que sur instruction du responsable de traitement. L’extraction de champs non demandés méconnaît l’article 29, même si l’outil utilisé est techniquement limité. L’article 32 exige des mesures adaptées aux risques : chiffrement, authentification, comptes individualisés, effacement après migration, procédures spécifiques et supervision. Leur absence a exposé des données de santé et justifié la sanction.