L'autorité espagnole clôture une procédure de sanction concernant une fraude par échange de carte SIM, estimant que le RGPD ne s'applique pas lorsque la ligne téléphonique est détenue par une personne morale, même si l'utilisateur est une personne physique victime de la fraude.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de clôture de procédure à l'encontre de VODAFONE ESPAÑA, S.A.U., initialement ouverte pour un traitement de données sans base légale suite à une fraude par échange de carte SIM ("SIM swapping").

L'affaire trouve son origine dans la plainte d'une personne physique qui, après avoir constaté une fraude bancaire d'un montant de ***CANTIDAD.1, a découvert qu'un tiers avait obtenu sans son consentement un duplicata de la carte SIM de sa ligne professionnelle auprès de l'opérateur.

Motifs de la décision

• Absence de manquement à l'obligation de licéité du traitement (article 6, paragraphe 1, du RGPD) : L'autorité a constaté que la ligne téléphonique en question n'était pas détenue par la personne plaignante, mais par son employeur, une personne morale. Se fondant sur le considérant 14 du RGPD, qui exclut explicitement de son champ d'application le traitement des données relatives aux personnes morales, l'autorité a conclu que la délivrance du duplicata de la carte SIM ne constituait pas un traitement de données à caractère personnel de la personne plaignante. Par conséquent, les dispositions du RGPD, et notamment l'exigence d'une base légale, n'étaient pas applicables à cette opération.

Décision de l'autorité

En conséquence, l'autorité a prononcé la clôture de la procédure de sanction à l'encontre de VODAFONE ESPAÑA, S.A.U.

Enseignements

Cette décision rappelle que :

• Le champ d'application matériel du RGPD est strictement limité à la protection des personnes physiques, comme le précise son considérant 14.
• Les données relatives à une personne morale, y compris ses coordonnées ou les informations contractuelles d'une ligne téléphonique d'entreprise, ne sont pas qualifiées de données à caractère personnel au sens du RGPD.
• Il est essentiel de distinguer le titulaire du contrat (la personne morale) de l'utilisateur final du service (la personne physique) pour déterminer si le RGPD est applicable à une opération de traitement donnée.
• Une opération qui ne constitue pas une violation du RGPD en raison de l'inapplicabilité du règlement peut néanmoins révéler une faille de sécurité ayant des conséquences préjudiciables pour les utilisateurs finaux.