L'autorité espagnole de protection des données (AEPD) a sanctionné un opérateur de télécommunications pour avoir associé à tort le numéro d'identification national d'une cliente aux données d'un tiers. L'autorité a retenu la négligence de l'opérateur, aggravée par le délai de près de deux ans pour procéder à la rectification des données inexactes.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de XFERA MÓVILES, S.A.U. (comprenant le prononcé d'une amende de 8 000 €) pour des manquements en lien avec le principe d'exactitude des données.

L'affaire trouve son origine dans la plainte d'une cliente qui a reçu, le 24 juillet 2024, un contrat associant son numéro d'identification national aux données personnelles d'une personne inconnue.

Motifs de la décision

• Obligation d'exactitude des données (article 5, paragraphe 1, point d) du RGPD) : L'autorité a constaté que le numéro d'identification national de la plaignante avait été incorrectement associé aux données d'un tiers, ce qui a conduit à l'envoi d'un contrat erroné. L'opérateur n'a procédé à la rectification de cette inexactitude que le 10 février 2026, soit près de deux ans après que l'incident a été signalé. L'AEPD a considéré que cette absence de mesures techniques et organisationnelles suffisantes pour prévenir de telles erreurs, ainsi que le retard considérable dans la correction, caractérisaient une négligence grave, en violation du principe d'exactitude. La sensibilité du numéro d'identification, qui permet une identification univoque et expose à des risques d'usurpation d'identité, a été un facteur aggravant retenu par l'autorité.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 8 000 € à XFERA MÓVILES, S.A.U.

Il est à noter que la société a bénéficié d'une réduction de 20 %, portant le montant final payé à 6 400 €, après avoir reconnu sa responsabilité et renoncé à tout recours administratif.

Enseignements

Cette décision confirme que :

• La réactivité dans la correction des données inexactes est un élément clé de l'appréciation de la diligence d'un responsable du traitement ; un retard excessif peut transformer un simple incident en une négligence caractérisée.
• Les identifiants nationaux uniques doivent faire l'objet de mesures de protection renforcées, car leur inexactitude ou leur divulgation expose les personnes concernées à des risques élevés, notamment l'usurpation d'identité.
• Même pour des manquements limités à un petit nombre de personnes, la négligence et la durée de l'infraction sont des facteurs aggravants significatifs, bien que la sanction finale puisse être modulée en fonction du périmètre restreint de l'incident.