L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de KVIKU SPAIN, S.L. (comprenant le prononcé d'une amende de 5 000 €) pour des manquements en lien avec la licéité du traitement de données personnelles. Cette affaire débute par une plainte d'une personne signalant être poursuivie pour le remboursement d'un prêt qu'elle n'a jamais sollicité et dont les demandes d'effacement de ses données restaient sans réponse.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité du traitement (article 6 du RGPD) : La société a traité les données de la plaignante pour la gestion d'un prêt et le recouvrement d'une prétendue créance. L'autorité a estimé que la société ne pouvait se fonder sur l'exécution d'un contrat, la plaignante niant avoir souscrit au prêt et le contrat produit n'étant pas signé. Les éléments fournis par la société, notamment une capture d'écran de consentement en ligne, n'ont pas été jugés suffisants pour prouver l'existence d'un contrat valide avec la plaignante, rendant ainsi le traitement de ses données illicite.

En conséquence, l’autorité a imposé une amende de 5 000 € à KVIKU SPAIN, S.L., laquelle a été réduite à 3 000 € suite à la reconnaissance de sa responsabilité et au paiement volontaire.
En outre, l’autorité a ordonné à la société de cesser le traitement des données de la plaignante et de les supprimer, et de justifier de la mise en œuvre de ces mesures dans un délai d'un mois.