L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de CECOTEC INNOVACIONES, S.L.U. (comprenant le prononcé d'une amende de 1 090 000 €) pour des manquements en lien avec la gestion d'une violation de données personnelles. Cette affaire débute par un signalement de l'Institut de Cybersécurité Espagnol (INCIBE) concernant la mise en vente sur le web clandestin d'une base de données contenant les informations de plus d'un million de personnes.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'entreprise n'a pas appliqué de mesures de chiffrement ou de pseudonymisation sur les données personnelles stockées au repos dans la table de sa base de données. En conséquence, lors de l'exfiltration des données par un cyberattaquant, les informations personnelles (incluant des numéros de document d'identité, adresses et téléphones) étaient lisibles et directement exploitables, ce qui a entraîné une violation de leur confidentialité.

* Obligation de sécurité du traitement (article 32 du RGPD) : L'entreprise utilisait une plateforme de commerce en ligne basée sur une version logicielle obsolète, sans support technique depuis 2019 et présentant de multiples vulnérabilités critiques connues. Cette plateforme est restée accessible depuis internet sans que des mesures de sécurité adéquates, telles qu'une analyse de risques régulière, une journalisation des événements ou des contrôles d'accès suffisants, n'aient été mises en œuvre pour protéger les plus de deux millions d'enregistrements qu'elle contenait.

* Obligation de notification d'une violation de données à l'autorité de contrôle (article 33 du RGPD) : La société a notifié la violation de données à l'AEPD le 19 avril 2023, soit au-delà du délai de 72 heures. L'autorité a estimé que l'entreprise avait eu connaissance de la violation avec un degré de certitude raisonnable dès le 13 avril 2023, après avoir mené ses investigations initiales, et que la notification aurait dû intervenir au plus tard le 16 avril 2023.

* Obligation de communication d'une violation de données aux personnes concernées (article 34 du RGPD) : L'entreprise n'a pas communiqué la violation aux personnes concernées, estimant que l'incident n'était pas susceptible d'engendrer un risque élevé pour leurs droits et libertés. L'autorité a jugé cette évaluation incorrecte, considérant que la nature des données exfiltrées (incluant des documents d'identité) et leur mise en vente sur le web clandestin créaient un risque élevé, notamment d'usurpation d'identité ou de fraude, rendant la communication obligatoire pour au moins 933 personnes identifiées.

En conséquence, la structure s'est vue sanctionner de l'amende mentionnée ci-dessus.
En outre, l’autorité a ordonné à l'entreprise de communiquer la violation de données aux personnes concernées et de mettre en œuvre des mesures de sécurité appropriées, incluant la mise à jour de son analyse de risques.