L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de ***EMPRESA.1 (comprenant le prononcé d'une amende de 25 000 €) pour des manquements en lien avec l'encadrement contractuel de la sous-traitance. Cette affaire débute par une plainte déposée le 28 juin 2023, par une personne ayant reçu un contrat de fourniture d'électricité à son nom sans avoir jamais eu de relation contractuelle avec l'entreprise.

L’enquête menée par l’autorité a permis de constater :

* Obligation d'encadrer la relation entre responsable de traitement et sous-traitant (article 28 du RGPD) : L'autorité a examiné le contrat liant ***EMPRESA.1, en tant que responsable du traitement, à son agent commercial ***EMPRESA.2, agissant comme sous-traitant. Il a été constaté que le contrat, en vigueur entre septembre 2021 et juillet 2023, présentait plusieurs carences au regard des exigences de l'article 28, paragraphe 3 du RGPD. Le contrat ne spécifiait pas de manière suffisamment détaillée le type de données personnelles traitées, les opérations de traitement à réaliser, ni les mesures de sécurité techniques et organisationnelles à mettre en œuvre, se contentant de références génériques au RGPD. De plus, les dispositions relatives au recours à d'autres sous-traitants et à l'assistance due au responsable du traitement étaient jugées trop vagues et ne constituaient qu'une simple reproduction du texte réglementaire.

En conséquence, l’autorité a imposé une amende de 25 000 € à ***EMPRESA.1, montant qui a été réduit à 20 000 € suite à un paiement volontaire.