L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de GESTERNOVA, S.A. (comprenant le prononcé d'une amende de 220 000 €) pour des manquements en lien avec le traitement de données sans base légale et le devoir d'information. Cette affaire débute par une plainte déposée suite à un appel commercial non sollicité, suivi de l'envoi d'un courriel par GESTERNOVA contenant des données personnelles et bancaires de la plaignante, alors que celle-ci n'avait jamais communiqué ces informations à l'entreprise.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6, paragraphe 1 du RGPD) : GESTERNOVA a traité les données personnelles de la plaignante, incluant son identité, ses coordonnées et des informations bancaires, en lui envoyant un courriel de confirmation de contrat. Ces données avaient été intégrées dans ses systèmes par son sous-traitant, SEVERAL ENERGY, S.L., sans que GESTERNOVA ne vérifie au préalable leur origine ou l'existence d'une base légale justifiant leur collecte et leur utilisation. L'autorité a conclu que GESTERNOVA, en sa qualité de responsable du traitement, a manqué à son obligation de s'assurer de la licéité du traitement effectué pour son compte, engageant ainsi sa responsabilité.

* Obligation d'information lors de la collecte des données (article 13 du RGPD) : Lors de l'appel commercial mené par son sous-traitant, la plaignante n'a pas été informée des éléments requis, notamment l'identité du responsable du traitement (GESTERNOVA), les finalités du traitement, la base juridique ou ses droits. L'autorité a estimé que GESTERNOVA n'a pas supervisé ni garanti que son sous-traitant respectait ce devoir d'information au moment de la collecte des données, et que le courriel de confirmation envoyé par la suite ne contenait pas non plus les mentions légales requises.

En conséquence, l’autorité a imposé une amende de 220 000 € à GESTERNOVA, S.A.

En outre, l’autorité a ordonné à GESTERNOVA d'adapter ses procédures de traitement des données à la réglementation en vigueur dans un délai de six mois et de fournir la preuve de cette mise en conformité.