L'autorité espagnole sanctionne DYNAMIC EXPRESS COURIER S.L pour manquements liés à la sous-traitance non autorisée
L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de DYNAMIC EXPRESS COURIER S.L (comprenant le prononcé d'une amende de 15 000 €) pour des manquements en lien avec la gestion de ses sous-traitants. Cette affaire débute par une plainte concernant la perte de documents personnels, incluant la copie d'une pièce d'identité, lors d'un envoi destiné à une banque.
L’enquête menée par l’autorité a permis de constater :
* Obligation d'obtenir une autorisation préalable du responsable de traitement pour recourir à un sous-traitant (article 28, paragraphe 2 du RGPD) : DYNAMIC a fait appel à la société SENDING en tant que sous-traitant pour exécuter une prestation de collecte de documents pour le compte du responsable de traitement, la banque ING. Or, le contrat de traitement de données ne mentionnait pas SENDING comme sous-traitant autorisé et DYNAMIC n'a pas pu prouver avoir obtenu une autorisation écrite et préalable d'ING pour cette sous-traitance, ce que la banque a nié.
* Obligation d'informer le responsable de traitement de tout changement concernant les sous-traitants (article 28, paragraphe 2 du RGPD) : L'enquête a révélé que le sous-traitant de DYNAMIC, SENDING, avait lui-même sous-traité la collecte à une autre société, AUTORADIO. Bien que DYNAMIC ait reconnu être au courant de cette sous-traitance ultérieure, elle n'a pas informé le responsable de traitement, ING, de l'ajout de ce nouveau sous-traitant dans la chaîne de traitement, manquant ainsi à son devoir d'information.
* Obligation d'encadrer la relation avec un sous-traitant par un contrat conforme (article 28, paragraphe 4 du RGPD) : Le contrat liant DYNAMIC à son sous-traitant SENDING n'était pas conforme aux exigences du RGPD. Datant d'avant la relation avec ING, il n'identifiait pas cette dernière comme le responsable de traitement final et n'imposait pas à SENDING les mêmes obligations en matière de protection des données que celles prévues dans le contrat principal entre ING et DYNAMIC.
En conséquence, l’autorité a imposé une amende de 15 000 € à DYNAMIC EXPRESS COURIER S.L.
L’enquête menée par l’autorité a permis de constater :
* Obligation d'obtenir une autorisation préalable du responsable de traitement pour recourir à un sous-traitant (article 28, paragraphe 2 du RGPD) : DYNAMIC a fait appel à la société SENDING en tant que sous-traitant pour exécuter une prestation de collecte de documents pour le compte du responsable de traitement, la banque ING. Or, le contrat de traitement de données ne mentionnait pas SENDING comme sous-traitant autorisé et DYNAMIC n'a pas pu prouver avoir obtenu une autorisation écrite et préalable d'ING pour cette sous-traitance, ce que la banque a nié.
* Obligation d'informer le responsable de traitement de tout changement concernant les sous-traitants (article 28, paragraphe 2 du RGPD) : L'enquête a révélé que le sous-traitant de DYNAMIC, SENDING, avait lui-même sous-traité la collecte à une autre société, AUTORADIO. Bien que DYNAMIC ait reconnu être au courant de cette sous-traitance ultérieure, elle n'a pas informé le responsable de traitement, ING, de l'ajout de ce nouveau sous-traitant dans la chaîne de traitement, manquant ainsi à son devoir d'information.
* Obligation d'encadrer la relation avec un sous-traitant par un contrat conforme (article 28, paragraphe 4 du RGPD) : Le contrat liant DYNAMIC à son sous-traitant SENDING n'était pas conforme aux exigences du RGPD. Datant d'avant la relation avec ING, il n'identifiait pas cette dernière comme le responsable de traitement final et n'imposait pas à SENDING les mêmes obligations en matière de protection des données que celles prévues dans le contrat principal entre ING et DYNAMIC.
En conséquence, l’autorité a imposé une amende de 15 000 € à DYNAMIC EXPRESS COURIER S.L.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire