Violation de données chez Virgin Mobile Polska

Le 2 janvier 2020, Virgin Mobile Polska, un opérateur de réseau mobile virtuel polonais, a informé ses clients qu'une personne non autorisée avait accédé aux données personnelles des abonnés en exploitant une faille dans le système d'enregistrement des services prépayés. L'affaire est devenue l'une des actions d'application du RGPD les plus citées de Pologne.

Ce qui s'est passé

Le système informatique de Virgin Mobile Polska était conçu de sorte que l'échange de données entre applications internes ne se produise qu'après vérification de certains paramètres issus des demandes d'enregistrement des clients prépayés — un contrôle censé confirmer que toute demande de transfert de données provenait d'une entité autorisée. En pratique, cette vérification ne fonctionnait pas, et le mécanisme n'avait jamais été correctement testé avant son déploiement.

Une partie non autorisée a découvert la logique de vérification défaillante et l'a utilisée pour extraire des dossiers d'abonnés — abusant essentiellement d'une faille applicative plutôt que de casser un chiffrement ou de voler des identifiants. L'opérateur a détecté la violation en décembre 2019 et a notifié l'autorité de contrôle polonaise (UODO) le 18 décembre 2019.

Impact

• Les données personnelles de 114 963 abonnés ont été consultées.
• Les champs exposés comprenaient noms, numéros d'identité nationale PESEL, séries et numéros de carte d'identité, numéros de téléphone et identifiants fiscaux NIP.
• Les données PESEL et de carte d'identité sous-tendant la vérification d'identité dans la banque et les services publics polonais, les abonnés concernés étaient exposés à un risque élevé de vol d'identité.

Issue réglementaire

Le 3 décembre 2020, l'UODO a infligé une amende de 1 968 524 PLN (environ 460 000 EUR) à Virgin Mobile Polska. La conclusion centrale du régulateur ne portait pas sur la violation elle-même mais sur le manquement de l'entreprise à tester, mesurer et évaluer régulièrement et systématiquement l'efficacité de ses garanties techniques — une violation directe des principes de « sécurité du traitement » et de responsabilité du RGPD. Après que l'opérateur eut contesté la décision et qu'un tribunal l'eut renvoyée, l'autorité de contrôle a réexaminé l'affaire en 2023 et a de nouveau conclu que les mesures étaient inadéquates.

Pourquoi c'est important

L'affaire Virgin Mobile Polska constitue une interprétation marquante de l'article 32 du RGPD : les régulateurs ont clairement indiqué que des examens de sécurité ponctuels ou occasionnels ne satisfont pas à l'exigence de tests réguliers des mesures techniques. Pour les opérateurs télécoms manipulant des numéros d'identité nationale à grande échelle, la décision a souligné qu'une logique applicative non testée est en soi un manquement à la conformité — l'absence d'exploitation connue n'excuse pas l'absence de validation de sécurité proactive.