L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de SPRINTER MEGACENTROS DEL DEPORTE, S.L., comprenant le prononcé d'une amende de 2 600 000 € pour des manquements en lien avec la sécurité des données personnelles suite à une cyberattaque.
Cette affaire débute par la notification d'une violation de données par l'entreprise, suivie de plusieurs plaintes d'individus concernés par un incident de cybersécurité ayant entraîné le chiffrement de systèmes et l'exfiltration de données.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'entreprise a été victime d'une cyberattaque ayant affecté les données de 6 381 913 personnes, incluant des clients, des employés et d'anciens employés. Les données exfiltrées comprenaient des informations d'identification, de contact, des numéros d'identification fiscale, ainsi que des données de santé et financières. L'autorité a conclu que les mesures techniques et organisationnelles mises en œuvre avant l'incident étaient inadéquates pour garantir un niveau de sécurité approprié, une conclusion étayée par un rapport d'expertise qui a révélé des déficiences significatives. L'entreprise a elle-même reconnu que des mesures de sécurité supplémentaires auraient pu empêcher la violation.

En conséquence, l’autorité a imposé une amende de 2 600 000 € à SPRINTER MEGACENTROS DEL DEPORTE, S.L. Ce montant a été réduit à 1 560 000 € suite à l'application d'une réduction de 40 % pour reconnaissance de responsabilité et paiement volontaire.
En outre, l’autorité a ordonné à l'entreprise d'adopter, dans un délai de six mois, les mesures nécessaires pour garantir la conformité de ses traitements avec la réglementation sur la protection des données et de justifier de leur mise en œuvre effective.