L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de BIZUM, S.L. (comprenant le prononcé d'une amende de 100 000 €) pour des manquements en lien avec la sécurité des données personnelles.
Cette affaire débute par la notification d'une violation de données par BIZUM, S.L. elle-même, suite à la découverte de la publication en ligne de données d'utilisateurs.

L’enquête menée par l’autorité a permis de constater :

* Obligation de sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que BIZUM n'avait pas mis en œuvre de mesures techniques et organisationnelles appropriées pour garantir la sécurité des données. Le 21 septembre 2022, un volume inhabituel de requêtes via un utilisateur légitime a permis l'exfiltration des données de plus de 20 000 utilisateurs (numéro de téléphone, nom et initiales des noms de famille). La violation n'a été découverte que le 24 novembre 2023, suite à la publication en ligne de 2 634 de ces enregistrements. L'autorité a conclu que les mesures de surveillance étaient insuffisantes pour détecter les conséquences d'un tel incident et prévenir l'utilisation abusive d'un service à des fins d'extraction de données.

En conséquence, l’autorité a imposé une amende de 100 000 € à BIZUM, S.L., ramenée à 80 000 € suite à un paiement volontaire.
En outre, l’autorité a ordonné à BIZUM d'adopter, dans un délai de six mois, des mesures techniques et organisationnelles pour garantir un niveau de sécurité adéquat, notamment en s'assurant que l'accès aux informations personnelles pour les transferts de fonds soit strictement nécessaire et restreint.