L'Agence espagnole de protection des données (AEPD) a clos une procédure concernant une violation de données massive, sans prononcer de sanction, en raison de l'extinction de la personnalité juridique du responsable du traitement à la suite d'une fusion-absorption.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision d'archivage de la procédure initiée à l'encontre de SERED HOSTING, S.L. pour des manquements en lien avec la sécurité des données et la communication d'une violation.

L'affaire trouve son origine dans la notification tardive d'une violation de données par la société le 14 janvier 2024, suivie le lendemain de la plainte d'une personne concernée, qui avait reçu une communication de l'entreprise au sujet de l'incident.

Motifs de la décision

L'enquête a permis de retenir plusieurs manquements, bien que la procédure ait été finalement archivée. La violation de données, détectée le 11 janvier 2024 mais ayant débuté le 5 décembre 2023, a affecté environ 98 000 personnes et a concerné des données d'identification, des documents officiels, des données de contact et des identifiants d'accès. L'autorité a considéré que les mesures de sécurité étaient inadéquates.

• Obligation d'assurer l'intégrité et la confidentialité des données (article 5, paragraphe 1, point f) du RGPD) : L'autorité a estimé que les mesures techniques et organisationnelles mises en place par SERED HOSTING étaient insuffisantes pour garantir un niveau de sécurité adapté au risque. La survenance de la violation, affectant des données sensibles telles que des identifiants d'accès et des documents d'identité, a démontré cette défaillance. De plus, l'entreprise n'a pas été en mesure de fournir les analyses de risques, audits de sécurité ou autres documents justifiant les mesures prétendument en place avant l'incident, malgré les demandes de l'autorité.
• Obligation de communiquer une violation de données aux personnes concernées (article 34 du RGPD) : L'autorité a relevé que la communication adressée aux personnes concernées était incomplète, car elle n'incluait pas une description des conséquences probables de la violation. Toutefois, l'AEPD a constaté que cette infraction était prescrite au regard du droit national (article 74 de la Loi organique sur la protection des données et la garantie des droits numériques) et ne pouvait donc plus faire l'objet de poursuites.

Décision de l'autorité

En conséquence, l'autorité a décidé d'archiver la procédure de sanction à l'encontre de SERED HOSTING, S.L. Cette décision est motivée par l'extinction de la personnalité juridique de la société, qui a été absorbée par SOLUCIONES WEB ON LINE, S.L.U. le 3 juillet 2025, au cours de la procédure.

Enseignements

Cette décision rappelle que :

• La disparition de la personnalité juridique d'une entité (par exemple, par fusion-absorption) peut entraîner la clôture d'une procédure de sanction, l'action de l'autorité de contrôle ne pouvant plus être dirigée contre une société qui n'existe plus.
• L'absence de documentation formelle (analyse de risques, audits, politiques de sécurité) pour justifier les mesures de sécurité mises en place avant un incident rend difficile, voire impossible, la démonstration de la conformité à l'obligation de sécurité de l'article 5, paragraphe 1, point f) du RGPD.
• La détection d'activités suspectes, même sans preuve immédiate d'exfiltration de données, doit déclencher sans délai des investigations approfondies et des mesures de confinement, la date de détection d'une violation pouvant être antérieure à la confirmation explicite de la compromission par un tiers.