L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de DÉCIMAS, S.L. (comprenant le prononcé d'une amende de 200 000 € avant réduction) pour des manquements liés à la sécurité des données personnelles suite à une violation de données. Cette affaire débute par des plaintes déposées en mai 2024, signalant la réception d'un courriel notifiant une violation de données personnelles (nom, prénom, adresse électronique et numéro de carte d'identité).

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté qu'une cyberattaque par injection de code SQL sur le site internet de l'entreprise en avril 2024 a entraîné l'exfiltration des données personnelles d'environ 331 809 utilisateurs, incluant noms, dates de naissance, genres, adresses électroniques et numéros de carte d'identité. Il a été retenu que l'entreprise n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité des données, celle-ci ayant été alertée de l'incident par l'Institut National de la Cybersécurité (INCIBE) et non par ses propres systèmes de surveillance. L'absence de mécanismes de détection internes efficaces et de mesures telles que le chiffrement a été soulignée.

En conséquence, l’autorité a imposé une amende de 200 000 € à DÉCIMAS, S.L. Ce montant a été réduit à 120 000 € suite à l'application d'une réduction de 40 % pour reconnaissance de responsabilité et paiement volontaire.

En outre, l’autorité a ordonné à l’entreprise de justifier, dans un délai de six mois, de la mise en œuvre effective de mesures techniques et organisationnelles appropriées pour garantir la confidentialité des données.