L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de IBERANUNCIOS SL, comprenant le prononcé d'une amende de 9 000 €, pour des manquements en lien avec la sécurité des données personnelles traitées via son portail « tucasa.com ». Cette affaire débute par la notification d'une violation de données par la société elle-même, après avoir pris connaissance de la mise en vente en ligne d'une base de données de son portail.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté qu'une cyberattaque par injection SQL avait permis l'exfiltration des données personnelles d'environ quatre millions d'utilisateurs du portail. Les données, qui comprenaient des informations d'identification, de contact et des identifiants d'accès, n'étaient pas chiffrées au repos. L'enquête a révélé que l'incident était dû à la coexistence de versions anciennes et vulnérables du portail, accessibles publiquement durant un processus de migration technologique, sans qu'une analyse de risque spécifique à cette opération n'ait été documentée.

En conséquence, l’autorité a imposé une amende de 15 000 € à IBERANUNCIOS SL, ramenée à 9 000 € suite à la reconnaissance de sa responsabilité et au paiement volontaire.