Sanction de 186 000 € infligée à l'entreprise de médicaments et de produits chimiques de Barcelone par l'autorité espagnole suite à une violation de données de cartes bancaires
L’autorité espagnole de protection des données a publié une décision de sanction à l’encontre de BARCELONESA DE DROGAS Y PRODUCTOS QUÍMICOS S.A.U. ("BARCELONESA"), comprenant le prononcé d’une amende de 186 000 € pour des manquements liés à une violation de données personnelles affectant des données de cartes bancaires.
Cette affaire débute par la notification d’une violation de données personnelles à l’Agence espagnole de protection des données (AEPD) le 20 février 2024, causée par un possible vol de données de paiement via une intrusion dans un formulaire java sur le site web www.vadequimica.com, géré par BARCELONESA. La violation a affecté la confidentialité des données de moyens de paiement de personnes en Espagne, dans un contexte d’attaque externe intentionnelle.
L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir la confidentialité des données personnelles (article 5.1.f) du RGPD) : La violation est due à des vulnérabilités critiques non corrigées depuis 2017 dans le système informatique, notamment dans un module java, permettant l’installation de fichiers malveillants sur le serveur et la modification de fichiers légitimes pour capter les données de cartes bancaires lors des achats en ligne. BARCELONESA n’a pas réalisé d’analyse de risques spécifique et a dépendu exclusivement des mesures de sécurité d’un tiers, sans détecter l’intrusion.
* Obligation de conclure un contrat d’encadrement avec les sous-traitants (article 28.3 du RGPD) : BARCELONESA n’a pas pu fournir les contrats de traitement avec la plateforme de paiement désignée responsable, ce qui constitue une infraction au RGPD.
En conséquence, l’autorité a imposé une amende de 186 000 € à BARCELONESA, montant résultant de la sanction initiale de 310 000 € réduite de 40 % en raison du paiement volontaire et de la reconnaissance de responsabilité par la société.
En outre, l’autorité a ordonné à BARCELONESA de notifier dans un délai de six mois, à compter de la date de la décision définitive, les mesures adoptées pour se conformer à la réglementation.
Cette affaire débute par la notification d’une violation de données personnelles à l’Agence espagnole de protection des données (AEPD) le 20 février 2024, causée par un possible vol de données de paiement via une intrusion dans un formulaire java sur le site web www.vadequimica.com, géré par BARCELONESA. La violation a affecté la confidentialité des données de moyens de paiement de personnes en Espagne, dans un contexte d’attaque externe intentionnelle.
L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir la confidentialité des données personnelles (article 5.1.f) du RGPD) : La violation est due à des vulnérabilités critiques non corrigées depuis 2017 dans le système informatique, notamment dans un module java, permettant l’installation de fichiers malveillants sur le serveur et la modification de fichiers légitimes pour capter les données de cartes bancaires lors des achats en ligne. BARCELONESA n’a pas réalisé d’analyse de risques spécifique et a dépendu exclusivement des mesures de sécurité d’un tiers, sans détecter l’intrusion.
* Obligation de conclure un contrat d’encadrement avec les sous-traitants (article 28.3 du RGPD) : BARCELONESA n’a pas pu fournir les contrats de traitement avec la plateforme de paiement désignée responsable, ce qui constitue une infraction au RGPD.
En conséquence, l’autorité a imposé une amende de 186 000 € à BARCELONESA, montant résultant de la sanction initiale de 310 000 € réduite de 40 % en raison du paiement volontaire et de la reconnaissance de responsabilité par la société.
En outre, l’autorité a ordonné à BARCELONESA de notifier dans un délai de six mois, à compter de la date de la décision définitive, les mesures adoptées pour se conformer à la réglementation.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire