L'Autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de Services Financiers Carrefour, Établissement Financier de Crédit, S.A. (comprenant le prononcé d'une amende de 1 500 000 €) pour des manquements en lien avec la sécurité des données personnelles.

Cette affaire débute par la notification d'une violation de données par la société elle-même, suivie par au moins 16 plaintes d'individus signalant des tentatives d'hameçonnage, d'usurpation d'identité et d'escroquerie.

L’enquête menée par l’autorité a permis de constater :

* Obligation de garantir l'intégrité et la confidentialité des données (article 5, paragraphe 1, point f) du RGPD) : L'autorité a relevé qu'un cyberincident, impliquant une usurpation d'identité et un compromis de compte, a permis un accès non autorisé aux données de clients, incluant des informations de contact, des numéros de carte d'identité nationale (DNI), des données économiques et financières et des moyens de paiement. L'enquête a révélé que la violation découlait de mesures de sécurité insuffisantes, notamment une configuration système vulnérable en place depuis 2017 qui n'avait pas fait l'objet d'une révision proactive. Les mesures techniques et organisationnelles existantes n'ont donc pas permis d'assurer une sécurité appropriée contre ce risque.

En conséquence, l’autorité a imposé une amende de 1 500 000 € à Services Financiers Carrefour, Établissement Financier de Crédit, S.A.