L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre d'AXA SEGUROS GENERALES, S.A. DE SEGUROS Y REASEGUROS, comprenant le prononcé d'une amende de 200 000 €, pour des manquements en lien avec la sécurité des données personnelles dans le cadre de la procédure de changement de mot de passe de son espace client. Cette affaire débute par une plainte déposée le 28 mai 2023, signalant la réception de messages relatifs à un changement de mot de passe non sollicité sur l'espace client "MONAXA", après un contact par un ancien agent de la société.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'assureur n'a pas garanti une sécurité appropriée des données personnelles, entraînant une perte de confidentialité. Un ancien agent a pu accéder au compte d'une cliente en usurpant son identité via la procédure de changement de mot de passe de l'espace client "MONAXA". L'autorité a jugé cette procédure insuffisamment sécurisée, car elle reposait sur des questions de sécurité (numéro de police et quatre derniers chiffres du moyen de paiement) dont les réponses pouvaient être connues de l'ancien agent. Ce risque était prévisible, notamment suite à une rupture de contrat conflictuelle, et aucune mesure de précaution spécifique n'avait été mise en place.

En conséquence, l’autorité a imposé une amende de 200 000 € à AXA SEGUROS GENERALES, S.A. DE SEGUROS Y REASEGUROS.
En outre, l’autorité a ordonné à la société de mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées et d'en apporter la preuve dans un délai de six mois.