L'Agence espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U. (comprenant le prononcé d'une amende de 500 000 €) pour des manquements en lien avec le principe de protection des données dès la conception. Cette affaire débute par une plainte déposée le 28 septembre 2023, signalant la réception de messages contenant les données personnelles d'un tiers, notamment son nom complet, son adresse et des numéros de client et de facture.

L’enquête menée par l’autorité a permis de constater :
* Obligation de protection des données dès la conception et par défaut (article 25 du RGPD) : L'entreprise a reconnu qu'un agent commercial avait commis une erreur humaine en associant l'adresse électronique du plaignant au dossier d'un autre client. L'autorité a cependant estimé que la cause profonde n'était pas un simple incident ponctuel, mais une défaillance systémique. Le canal de communication par discussion en ligne permettait aux agents de gérer simultanément plusieurs clients, ce qui créait un risque élevé et évident d'erreurs dans l'attribution des données. L'enquête a révélé l'absence de mesures techniques et organisationnelles appropriées pour prévenir ce risque, tant dans les procédures internes que dans les contrats de sous-traitance, constituant ainsi un manquement à l'intégration des principes de protection des données dès la conception du traitement.

En conséquence, l’autorité a imposé une amende de 500 000 € à CURENERGÍA COMERCIALIZADOR DE ÚLTIMO RECURSO, S.A.U..