L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de DIGI SPAIN TELECOM, S.L.U. (comprenant le prononcé d'une amende de 120 000 €) pour des manquements en lien avec la délivrance non autorisée d'un duplicata de carte SIM. Cette affaire débute par la plainte d'un client de l'opérateur, déposée le 18 juin 2023, signalant que sa carte SIM avait été dupliquée à son insu le 8 janvier 2022, après avoir été victime d'une attaque par hameçonnage quelques jours auparavant.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6 du RGPD) : L'autorité a constaté que l'opérateur avait émis un duplicata de la carte SIM du plaignant et l'avait remis à un tiers non autorisé. Cette délivrance a été réalisée sans que le consentement du titulaire légitime ne soit recueilli et sans que son identité ne soit vérifiée de manière fiable, ce qui constitue un traitement de données personnelles sans base juridique valable. L'enquête a révélé que le fraudeur avait d'abord passé les contrôles de sécurité à distance en utilisant des informations personnelles du plaignant, avant de se présenter dans un point de vente avec une fausse déclaration de vol et une pièce d'identité. L'autorité a retenu une négligence grave, soulignant que l'opérateur n'a pas conservé de copie des documents présentés et n'a pas détecté d'alertes, comme la demande effectuée depuis une région différente de celle du domicile du titulaire.

En conséquence, l’autorité a imposé une amende de 120 000 € à DIGI SPAIN TELECOM, S.L.U.