L'autorité irlandaise de protection des données (DPC) a publié une décision de sanction à l'encontre de Permanent TSB (PTSB), comprenant le prononcé d'une amende de 277 500 €, pour des manquements liés à la sécurité des données et à la notification de violations. Cette affaire fait suite à une enquête sur une série de violations de données à caractère personnel, signalées par l'entreprise en mai 2022, au cours desquelles des acteurs malveillants ont usurpé l'identité de clients par téléphone pour accéder à leurs comptes.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 5, paragraphe 1, point f) et article 32, paragraphe 1 du RGPD) : L'entreprise n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque au sein de son Centre de contact « Open24 ». L'autorité a relevé que les protocoles de sécurité n'avaient pas été suivis, permettant à des tiers d'accéder à des comptes clients, de modifier des informations et d'en obtenir de nouvelles, exposant les titulaires à un risque de fraude et à des pertes financières.

* Obligation de notifier les violations de données (article 33, paragraphe 1 du RGPD) : L'entreprise n'a pas notifié les violations à l'autorité de contrôle dans le délai de 72 heures après en avoir pris connaissance, comme l'exige le règlement.

En conséquence, l’autorité a imposé une amende de 277 500 € à Permanent TSB.
En outre, l’autorité a adressé un blâme à l'entreprise.