CJUE – Digi – C-77/21

Digi est l’un des principaux fournisseurs de services Internet et de télévision en Hongrie. Au mois d’avril 2018, à la suite d’une défaillance technique ayant affecté le fonctionnement d’un serveur, Digi a créé une base de données dite « de test » (ci-après la « base de données de test »), dans laquelle elle a copié les données à caractère personnel d’environ un tiers de ses clients particuliers, lesquelles étaient conservées dans une autre base de données, appelée « digihu », susceptible d’être reliée au site www.digi.hu, comportant les données tenues à jour des personnes qui se sont inscrites en vue de recevoir la lettre d’information de Digi, à des fins de marketing direct, ainsi que les données d’administrateur système donnant accès à l’interface du site.

Le 23 septembre 2019, Digi a eu connaissance du fait qu’un « pirate éthique » avait eu accès aux données personnelles détenues par cette dernière concernant environ 322 000 personnes. Après avoir supprimé la base de données de test, Digi a notifié la violation de données à caractère personnel à l’Autorité le 25 septembre 2019, qui a par la suite ouvert une enquête. Par une décision du 18 mai 2020, l’Autorité a notamment conclu que Digi avait enfreint l’article 5, paragraphe 1, sous b) et e), du règlement 2016/679 et a imposé à Digi d’examiner l’ensemble de ses bases de données et lui a infligé une amende d’un montant de 100 000 000 forints hongrois (HUF) (environ 248 000 euros). Digi a contesté la légalité de cette décision devant la juridiction de renvoi