L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de GASEXPRESS PATRAIX, S.L. comprenant le prononcé d'une amende de 20 000 € pour des manquements en lien avec la sécurité des données personnelles traitées par ses distributeurs automatiques de carburant. Cette affaire débute par une plainte signalant que les distributeurs d'une station-service permettaient d'imprimer la facture du client précédent, accédant ainsi à ses données personnelles.

L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir la sécurité du traitement (article 32 du RGPD) : En tant que responsable du traitement, la société exploitait un système de facturation automatisé sur ses pompes à essence qui ne garantissait pas un niveau de sécurité adapté au risque. Il a été démontré que le système permettait à un utilisateur d'imprimer la facture du client précédent, contenant des données personnelles telles que le nom, le domicile, le numéro d'identification fiscale et les quatre derniers chiffres de la carte bancaire. L'autorité a relevé que les données restaient accessibles pendant un certain laps de temps après la fin de la transaction, sans aucune vérification d'identité, ce qui constitue une mesure technique et organisationnelle insuffisante. La négligence de la société a été retenue, car elle n'a pas pris de mesures correctives après avoir été informée de la vulnérabilité par la plaignante, n'agissant qu'après l'intervention de l'autorité.

En conséquence, l’autorité a imposé une amende de 20 000 € à GASEXPRESS PATRAIX, S.L.