L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de ***EMPRESA.1 (comprenant le prononcé d'une amende de 48 000 €) pour des manquements en lien avec la communication illicite des données personnelles de ses employés à une société cliente. Cette affaire débute par une plainte signalant la communication des données personnelles des salariés, notamment leurs numéros de téléphone personnels, à une entreprise cliente sans base légale appropriée.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6 du RGPD) : La société a communiqué les données personnelles de 203 de ses salariés, y compris leurs numéros de téléphone personnels, à une entreprise cliente (***EMPRESA.2) afin de créer des comptes utilisateurs dans les outils de cette dernière. L'autorité a jugé que la base légale de la nécessité contractuelle, invoquée par la société, n'était pas applicable. En effet, la communication des numéros de téléphone personnels n'était pas indispensable à l'exécution du contrat de travail mais constituait une mesure provisoire pour des raisons organisationnelles, ce que le propre délégué à la protection des données de l'entreprise avait d'ailleurs souligné dans un rapport.

En conséquence, l’autorité a imposé une amende de 80 000 € à ***EMPRESA.1, qui a été réduite à 48 000 € après que l'entreprise a reconnu sa responsabilité et procédé au paiement volontaire. En outre, l’autorité a ordonné à la société de cesser le traitement des données via les téléphones mobiles personnels des employés à des fins professionnelles et de notifier sous trois mois les mesures correctrices adoptées.