L'Agence espagnole de protection des données (AEPD) a sanctionné la société FREE TECHNOLOGIES EXCOM, S.L. pour avoir manqué à ses obligations de sécurité en transmettant des identifiants de connexion en clair par courriel.

La procédure a été initiée suite à la plainte d'une personne ayant reçu un courriel non chiffré contenant son identifiant et un nouveau mot de passe pour son espace client, ce dernier ayant été modifié sans préavis. Ce courriel précisait que l'espace client contenait des données personnelles telles que le nom, l'adresse, le numéro de carte d'identité, le téléphone, le courriel, le contrat, les factures et le détail des consommations. L'AEPD a conclu que l'envoi d'identifiants en texte clair constituait une violation de l'article 32 du RGPD, car les mesures de sécurité étaient insuffisantes pour garantir un niveau de protection adapté au risque. Bien que la société ait invoqué une erreur humaine ponctuelle et des mesures correctrices immédiates, l'autorité a estimé que la réaction postérieure n'annulait pas la responsabilité de l'infraction initiale. Une amende de 10 000 € a été infligée, en tenant compte de la négligence grave, de la nature critique des données affectées et du chiffre d'affaires de l'entreprise qui s'élevait à 19 487 538 € en 2022.