L'autorité espagnole de protection des données a sanctionné un opérateur de télécommunications pour avoir délivré un duplicata de carte SIM à un fraudeur, considérant que le manquement de l'agent du point de vente à appliquer correctement les procédures de vérification d'identité constituait un traitement de données illicite par manque de diligence de la part du responsable de traitement.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de XFERA MÓVILES, S.A.U. (comprenant le prononcé d'une amende de 200 000 €) pour des manquements en lien avec la licéité du traitement dans le cadre d'une demande de duplicata de carte SIM.

L'affaire trouve son origine dans la plainte d'une personne dont la carte SIM a fait l'objet d'un duplicata frauduleux par un tiers non autorisé, le 24 juillet 2023, auprès d'un distributeur de l'opérateur, après présentation d'un document d'identité falsifié.

Motifs de la décision

• Obligation de licéité du traitement (article 6, paragraphe 1, du RGPD) : L'autorité a estimé que la délivrance d'un duplicata de carte SIM à un tiers non autorisé constituait un traitement de données personnelles illicite. Bien que la société ait invoqué l'exécution du contrat (article 6, paragraphe 1, point b) du RGPD) comme base légale, l'AEPD a jugé que cette base ne pouvait justifier la remise de la carte à une personne dont l'identité n'avait pas été vérifiée avec la diligence requise. La société a reconnu une "erreur humaine ponctuelle" de l'agent du point de vente, qui n'a pas correctement comparé les données du document d'identité présenté avec celles du titulaire légitime. L'autorité a rejeté l'argument selon lequel il s'agirait d'une responsabilité objective, précisant que la sanction était fondée sur un manque de diligence (culpa), la société étant responsable de s'assurer que ses procédures, même si elles existent formellement, sont appliquées de manière effective par ses agents pour prévenir de tels traitements non autorisés.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 200 000 € à XFERA MÓVILES, S.A.U.

En outre, l'autorité a ordonné à la société de démontrer, dans un délai de six mois, l'adoption de mesures correctrices garantissant la licéité du traitement des données lors de la délivrance de duplicatas de cartes SIM.

Enseignements

Cette décision rappelle que :

• La simple existence de procédures internes de sécurité est insuffisante ; le responsable de traitement doit garantir leur application effective et constante par son personnel et ses distributeurs pour assurer la licéité du traitement.

• Une "erreur humaine ponctuelle" d'un agent n'exonère pas le responsable de traitement de sa responsabilité, car celui-ci est tenu à une obligation de diligence dans la supervision et le contrôle de l'application de ses politiques de sécurité.

• La délivrance d'un duplicata de carte SIM à un tiers non autorisé suite à une vérification d'identité défaillante constitue un traitement de données illicite au sens de l'article 6 du RGPD, et non un simple incident de sécurité.

• La responsabilité du responsable de traitement en cas de fraude n'est pas une responsabilité objective, mais repose sur la démonstration d'un manquement à son obligation de diligence (culpa ou négligence) dans la mise en œuvre de mesures de vérification appropriées.

• Le numéro d'identification national est une donnée dont le traitement non autorisé présente un risque élevé pour les droits et libertés, ce qui constitue un facteur de gravité pouvant justifier une sanction plus élevée.