L'autorité espagnole de protection des données a classé une procédure initiée contre une société pour l'envoi de courriels non sollicités, après que celle-ci a démontré que les messages provenaient d'un tiers usurpant son identité dans le cadre d'une campagne d'hameçonnage.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de classement d'une procédure à l'encontre de la société THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L., initialement engagée pour un manquement présumé à l'obligation d'obtenir le consentement préalable à la prospection commerciale.

La procédure a été initiée le 15 juillet 2025 suite à la plainte d'une personne physique dénonçant la réception de courriels commerciaux non sollicités pour des services de prêts personnels, sans avoir jamais consenti ou fourni ses données à l'expéditeur.

Motifs de la décision

L'autorité a analysé l'imputabilité de l'infraction alléguée à la société mise en cause et a conclu à l'absence de responsabilité de cette dernière.

• Absence de preuve de l'imputabilité de l'envoi des communications (article 21, paragraphe 1 de la Loi 34/2002 sur les services de la société de l'information et le commerce électronique) : L'autorité a estimé que la société avait fondé sa défense en démontrant qu'elle n'était pas à l'origine des envois. L'analyse technique a révélé que les courriels provenaient d'un nom de domaine (***DOMINIO.1) sur lequel la société n'avait aucun contrôle, distinct de son domaine d'entreprise (***DOMINIO.2). De plus, les liens contenus dans les messages redirigeaient vers une URL externe (zesxu.wgnx.org) classifiée comme frauduleuse et utilisée pour des tentatives d'hameçonnage, sans aucun rapport avec l'infrastructure de la société. L'autorité a donc conclu à une usurpation d'identité et à l'absence de lien de causalité suffisant pour imputer la responsabilité de l'envoi à l'entité visée par la plainte.

Décision de l'autorité

En conséquence, l'autorité a prononcé le classement de la procédure et n'a imposé aucune sanction à la société THE WAY MEDIA MARKETING AND DIGITAL SERVICES, S.L.

Enseignements

Cette décision confirme / précise / rappelle que :

• La responsabilité d'un envoi de communications commerciales non sollicitées ne peut être imputée à une entité sans preuve d'un lien de causalité direct et de son contrôle effectif sur l'expédition.
• L'analyse technique des en-têtes de courriels, des noms de domaine d'expédition et des liens contenus dans les messages est déterminante pour établir ou écarter la responsabilité du prétendu expéditeur.
• La démonstration que les communications s'inscrivent dans une campagne d'hameçonnage (phishing) ou d'usurpation d'identité (spoofing) par un tiers constitue un moyen de défense efficace pour l'entité dont le nom est abusivement utilisé.
• Il incombe à l'autorité de contrôle d'apporter la preuve que l'entité poursuivie est bien à l'origine de l'infraction ; en l'absence de preuve suffisante, la procédure doit être classée.