L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre d'IBERDROLA CLIENTES, S.A.U. (comprenant le prononcé d'une amende de 1 000 000 €) pour des manquements en lien avec la sécurité des données personnelles de ses clients. Cette affaire débute par une plainte déposée après qu'un document a été envoyé à l'adresse électronique de la fille du plaignant, sans que cette dernière n'ait été communiquée par l'un ou l'autre.

L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que la société n'avait pas mis en œuvre des mesures de sécurité techniques et organisationnelles appropriées pour vérifier l'identité des personnes concernées. Le protocole de vérification d'identité utilisé par son centre d'appels ne garantissait pas un niveau de sécurité adéquat, notamment en n'établissant pas de critères clairs pour la sélection des données à demander pour l'authentification et en manquant de traçabilité, ce qui a été considéré comme un défaut de sécurité. En l'espèce, la société n'a pas pu prouver, par un enregistrement ou tout autre moyen, que le plaignant avait bien communiqué l'adresse électronique de sa fille lors d'un appel, ni quelles données spécifiques avaient été utilisées pour vérifier son identité avant de modifier le dossier client.

En conséquence, l’autorité a imposé une amende de 1 000 000 € à IBERDROLA CLIENTES, S.A.U.
En outre, l’autorité a ordonné à la société de justifier, dans un délai de trois mois, de l'adoption de mesures correctives appropriées, incluant des protocoles garantissant la vérification de l'identité des personnes.