L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre d'IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA, comprenant le prononcé d'une amende de 650 000 €, pour des manquements en lien avec la sécurité des données personnelles suite à une violation de données. Cette affaire débute par la notification d'une violation de données par IBERIA le 23 février 2023, concernant un accès non autorisé aux systèmes d'un de ses sous-traitants.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : Un accès non autorisé aux systèmes d'un sous-traitant a permis l'exfiltration de données personnelles d'employés et de représentants de clients, incluant des noms, adresses électroniques et mots de passe hachés. L'autorité a relevé que l'attaque exploitait des vulnérabilités connues depuis 2017 et 2019, pour lesquelles des correctifs existaient mais n'avaient pas été appliqués par le sous-traitant. L'AEPD a estimé qu'IBERIA, en tant que responsable du traitement, n'avait pas mis en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données, ses processus de vérification de la conformité de son sous-traitant (questionnaires, audits) ayant été jugés insuffisants pour s'assurer de l'application effective des mesures de sécurité requises.

En conséquence, l’autorité a imposé une amende de 650 000 € à IBERIA. Les poursuites pour manquements aux articles 32 et 34 du RGPD ont été archivées au cours de la procédure.

En outre, l’autorité a ordonné à IBERIA d'apporter la preuve, dans un délai de six mois, de la mise en œuvre de mesures de sécurité appropriées.