L’autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l’encontre de XFERA MÓVILES, S.A., comprenant le prononcé d’une amende de 200 000 € pour des manquements relatifs à la portabilité d’une ligne téléphonique sans consentement. Cette affaire débute par une réclamation déposée le 27/12/2022 par FACUA-Séville au nom d’un particulier, signalant une portabilité de ligne réalisée sans son consentement, avec réception d’un SMS le 14/09/2022 l’informant de la portabilité prévue le 15/09/2022. La réclamation soulignait également que la carte SIM avait été livrée à un tiers sans vérification d’identité.

L’enquête menée par l’autorité a permis de constater :
* Licéité du traitement des données (article 6 du RGPD) : Le système de validation par code de sécurité via SMS (OTP), destiné à confirmer la possession du numéro, était en phase de développement et n'était pas opérationnel au moment des faits. En outre, le contrat de portabilité et l'ordre de domiciliation de prélèvement SEPA fournis par XFERA MÓVILES ne comportaient pas la signature du plaignant. La carte SIM a été livrée à un tiers au domicile du plaignant, en violation des propres instructions de XFERA à son opérateur logistique, qui exigeaient la présentation du document d'identité du destinataire pour valider la livraison. L'AEPD a conclu que le traitement des données personnelles du plaignant pour la portabilité de sa ligne téléphonique n'était pas fondé sur une base légale valable.

En conséquence, la structure s’est vue sanctionner d’une amende de 200 000 € pour violation du principe de licéité du traitement, infraction qualifiée de très grave. En outre, l’autorité a ordonné à XFERA MÓVILES, S.A. de justifier, dans un délai de six mois à compter de la date de la décision devenue définitive, la mise en œuvre de mesures garantissant la légitimité des traitements de données, sous peine de poursuites pour nouvelle infraction administrative.