L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de EMAGISTER SERVICIOS DE FORMACIÓN, S.L., comprenant le prononcé d'une amende de 80 000 €, pour des manquements en lien avec la sécurité des données personnelles suite à une violation de données de grande ampleur.

Cette affaire débute par la notification d'une violation de données personnelles par EMAGISTER le 18 décembre 2023, suite à la détection d'un accès non autorisé à ses serveurs et à l'exfiltration des données d'environ 27 millions d'utilisateurs.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité des données (article 5, paragraphe 1, point f) du RGPD) : L'autorité a jugé les mesures de sécurité de la société insuffisantes. Une vulnérabilité critique, publique depuis plusieurs mois, a été exploitée sur une librairie logicielle non mise à jour (Zend Framework 1), permettant un accès non autorisé et l'exfiltration de 25 Gb de données. L'enquête a révélé que les données personnelles, à l'exception des mots de passe, n'étaient pas chiffrées et que le point d'entrée était une URL obsolète mais restée accessible. L'autorité a qualifié cette absence de gestion des vulnérabilités et de contrôles d'accès de négligence grave.

En conséquence, l’autorité a imposé une amende de 80 000 € à EMAGISTER SERVICIOS DE FORMACIÓN, S.L. Ce montant a été réduit à 48 000 € suite au paiement volontaire et à la reconnaissance de sa responsabilité par l'entreprise.

En outre, l’autorité a ordonné à la société de mettre en conformité ses traitements avec l'article 5, paragraphe 1, point f) du RGPD et de le prouver dans un délai de six mois.