L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de CAIXABANK, S.A., comprenant le prononcé d'une amende de 500 000 €, pour des manquements en lien avec la protection des données dès la conception et par défaut. Cette affaire débute par deux plaintes distinctes signalant l'envoi par erreur de communications contenant des données personnelles de tiers.

L’enquête menée par l’autorité a permis de constater :

* Obligation d'assurer la protection des données dès la conception et par défaut (article 25 du RGPD) : L'autorité a constaté que la récurrence de violations de données dues à des erreurs humaines au sein du service d'attention à la clientèle, notamment l'envoi de documents à des destinataires incorrects sur plusieurs années (2022, 2023, 2024), révélait une absence de mesures techniques et organisationnelles appropriées intégrées aux processus de traitement. L'enquête a montré que la détection de ces violations dépendait majoritairement de tiers, que leur communication au délégué à la protection des données était tardive et que l'identification des personnes et des données concernées était souvent incomplète. L'autorité a estimé que cette carence systémique dans la conception des processus a empêché l'application effective du principe de confidentialité et a également porté atteinte aux principes de minimisation et d'exactitude des données.

En conséquence, l’autorité a imposé une amende de 500 000 € à CAIXABANK, S.A., montant qui a été réduit à 400 000 € suite au paiement volontaire de la banque.

En outre, l’autorité a ordonné à la banque de réviser, dans un délai de neuf mois, le fonctionnement de son service d'attention à la clientèle et de mettre en œuvre les mesures nécessaires pour garantir la conformité avec l'article 25 du RGPD.