L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. (comprenant le prononcé d'une amende de 150 000 €) pour des manquements en lien avec la sécurité des données personnelles. Cette affaire débute par la notification d'une violation de données par la société elle-même, consécutive à une attaque par rançongiciel, complétée par la suite par plusieurs plaintes de personnes concernées.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a estimé que les mesures techniques et organisationnelles mises en œuvre par la société avant l'incident de sécurité n'étaient pas appropriées pour garantir un niveau de sécurité adapté au risque. Cette défaillance a permis une violation de données affectant la confidentialité et la disponibilité des informations d'au moins 77 027 personnes, incluant des données de santé et des documents d'identité. La négligence de la société, qui a été qualifiée de responsable de traitement (et non de sous-traitant) en raison des choix techniques et organisationnels de sécurité réalisés par elle même, a été qualifiée de grave.

En conséquence, l’autorité a imposé une amende de 150 000 € à ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. Le montant initialement proposé de 250 000 € a été réduit suite à la reconnaissance de responsabilité et au paiement volontaire par la société.