L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre d'ING BANK N.V., succursale en Espagne, prononçant une amende de 500 000 € pour des manquements en lien avec la sécurité du traitement des données personnelles.

Cette affaire débute par une plainte concernant la perte de documents personnels, contenant notamment une copie de pièce d'identité, envoyés par une cliente à la banque via un service de messagerie dans le cadre d'une procédure d'ajout de cotitulaire à un compte bancaire.

L’enquête menée par l’autorité a permis de constater :

* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que la banque, en tant que responsable du traitement, n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles confiées à son sous-traitant Sending Transporte y Comunicacion chargé de la collecte de documents. Le contrat de sous-traitance ne prévoyait pas de mesures spécifiques pour assurer la traçabilité des envois. De plus, la banque ne disposait d'aucun mécanisme d'alerte précoce pour détecter les retards ou pertes de documents, et n'a été informée de l'incident que par la plaignante elle-même, plusieurs jours après la perte. L'enquête a révélé que la banque n'a pu identifier le sous-traitant responsable de la collecte qu'après l'intervention de l'autorité, démontrant une absence de contrôle et de suivi effectif de ses prestataires.

En conséquence, l’autorité a imposé une amende de 500 000 € à ING BANK N.V., succursale en Espagne. La banque a bénéficié d'une réduction de 20 % en procédant à un paiement volontaire, ramenant le montant final de la sanction à 400 000 €. Il est notable que le sous-traitant a également été sanctionné il y a quelques semaines.