Incident de données chez SWISS : faille corrigée, mesures prises
En raison d’une erreur interne, des données sensibles issues d’assessments pour pilotes ont été rendues accessibles par inadvertance pendant environ deux mois à des personnes non autorisées. L’incident a été signalé par un collaborateur ; SWISS a immédiatement bloqué l’accès. Des spécialistes ont comblé la faille et mis en place des mesures de protection supplémentaires. D’autres données personnelles, telles que les données de passagers ou celles d’autres collaboratrices et collaborateurs, n’ont à aucun moment été concernées. SWISS regrette vivement cet incident et examine à présent ses processus afin de renforcer encore la protection des données sensibles.
Le 1er août, Swiss International Air Lines (SWISS) a été informée par un collaborateur que des données personnelles sensibles issues des assessments pour pilotes avaient été accessibles durant une période de environ deux mois à un plus grand groupe de personnes internes ainsi qu’à un cercle restreint de personnes issues d’entreprises partenaires. L’origine du problème était une erreur dans la configuration des autorisations d’un espace de stockage de données (SharePoint). Il ne s’agissait pas d’une cyberattaque.
Les données concernées contenaient des informations personnelles sur des pilotes ayant participé par le passé à une procédure de sélection chez SWISS – dans certains cas également des personnes externes pour lesquelles SWISS avait réalisé des assessments sur mandat. Il s'agit de dossiers de candidature, de résultats de tests et d'expertises. Environ 70 accès ont été enregistrés. Les personnes concernées ayant accédé aux données ont été contactées et informées de leur caractère sensible. Elles se sont engagées à supprimer immédiatement les données et à ne pas les transmettre, dans le cas où elles les auraient téléchargées.
Aucune donnée passager concernée – données immédiatement migrées et protégées
D’autres données personnelles, telles que des données de passagers ou de collaboratrices et collaborateurs, n’ont à aucun moment été en danger. SWISS attache une grande importance à la gestion responsable des données confidentielles et à leur protection maximale. Nous regrettons profondément cette erreur. L’erreur de configuration du système de stockage des données a été commise par un collaborateur – il s’agissait d’une erreur humaine. La responsabilité en incombe néanmoins à SWISS en tant qu’entreprise. Nous prenons cette responsabilité très au sérieux et avons immédiatement réagi.
La faille de sécurité a été corrigée dès que SWISS a été informée du problème. Les données ont été déplacées vers une autre plateforme sécurisée, chiffrées et dotées de mesures de protection supplémentaires. Depuis le 1er août, elles ne sont plus accessibles aux personnes non autorisées. Nous avons informé nos collaboratrices et collaborateurs concernés en toute transparence. Les autorités de protection des données ainsi que les organisations partenaires pour lesquelles SWISS avait effectué des assessments ont également été informées en temps utile.
Ces derniers jours, nous avons analysé précisément l’incident et en tirons des mesures concrètes pour éviter qu’un tel incident ne se reproduise à l’avenir. Nous restons bien entendu à la disposition des collaboratrices, collaborateurs et partenaires concernés pour toute question. Nous regrettons profondément cet incident – et faisons tout ce qui est en notre pouvoir pour qu’il ne se reproduise pas.