L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de BANKINTER, S.A., comprenant le prononcé d'une amende de 400 000 €, pour des manquements liés à la sécurité des données personnelles ayant conduit à une violation de données à grande échelle. Cette affaire débute par la notification d'une violation de données personnelles par EVO BANCO, qui a depuis été absorbée par BANKINTER, S.A.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer l'intégrité et la confidentialité des données (article 5, paragraphe 1, point f) du RGPD) : Une vulnérabilité dans une interface de programmation d'application (API) utilisée pour l'accueil de nouveaux clients, introduite lors d'une migration, a permis un accès non autorisé aux données de 1 275 049 personnes. Les données affectées, qui n'étaient pas chiffrées, comprenaient des informations d'identification, des coordonnées, des numéros IBAN et des données financières. L'autorité a relevé que les procédures de gestion des changements de la banque étaient insuffisantes, car elles ne prévoyaient pas de tests pour empêcher un accès non autorisé, ce qui a rendu possible la violation découverte suite à la publication d'une partie des données sur le web profond.

En conséquence, l’autorité a imposé une amende de 400 000 € à BANKINTER, S.A. Ce montant a été réduit à 240 000 € suite à la reconnaissance de responsabilité et au paiement volontaire par la société.