L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de Hyundai Motor España S.L.U. (comprenant le prononcé d'une amende de 2 000 000 €) pour des manquements en lien avec la sécurité des données personnelles. Cette affaire débute par plusieurs plaintes de personnes physiques, signalant avoir reçu une communication relative à une violation de leurs données personnelles et exprimant leurs inquiétudes à ce sujet.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté qu'une violation de données a affecté 1 012 730 clients et prospects en Espagne, suite à une cyberattaque sur un serveur géré par son sous-traitant, Hyundai AutoEver Europe GmbH. L'attaquant a exploité une vulnérabilité connue d'une version logicielle non mise à jour, alors qu'au moins huit correctifs de sécurité étaient disponibles. Cette faille a permis l'exfiltration de 5,4 Go de données personnelles non chiffrées, comprenant notamment les noms, dates de naissance, coordonnées, identifiants clients et numéros de châssis des véhicules. L'autorité a conclu que l'absence de mise à jour du logiciel et de chiffrement des données constituait une négligence grave et un manquement à l'obligation de garantir la sécurité des données.

En conséquence, l’autorité a imposé une amende de 2 000 000 € à Hyundai Motor España S.L.U.. La société a bénéficié d'une réduction de 20 % pour paiement volontaire, ramenant le montant acquitté à 1 600 000 €.

En outre, l’autorité a ordonné à la société d'adopter, dans un délai de six mois, les mesures nécessaires pour mettre ses traitements en conformité avec la réglementation et éviter que de tels incidents ne se reproduisent.