L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de FLEXICAR INTERNACIONAL, S.L., comprenant le prononcé d'une amende de 40 000 €, pour des manquements en lien avec le principe de confidentialité des données personnelles.

Cette affaire débute par la plainte d'une cliente qui, en demandant le remboursement de la réservation d'un véhicule, a reçu par erreur via une messagerie instantanée un fichier contenant les données personnelles d'autres clients.

L’enquête menée par l’autorité a permis de constater :
* Obligation de confidentialité (article 5, paragraphe 1, point f) du RGPD) : Un employé de l'entreprise a transmis par erreur à la plaignante, via une messagerie instantanée, un fichier contenant les données personnelles de 17 autres clients. Ces données incluaient des informations d'identification, des coordonnées, ainsi que des données financières sensibles telles que des embargos ou des dettes, et pour un client, des données de santé. L'autorité a conclu que l'entreprise n'avait pas mis en place de mesures techniques et organisationnelles appropriées pour garantir la confidentialité des données, notant que la politique interdisant l'usage de la messagerie instantanée pour les communications avec les clients n'a été formalisée que plusieurs mois après l'incident.

En conséquence, l’autorité a imposé une amende de 40 000 € à FLEXICAR INTERNACIONAL, S.L.
En outre, l’autorité a ordonné à l'entreprise de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la confidentialité des données et d'en apporter la preuve dans un délai de six mois.