L'autorité espagnole sanctionne un assureur pour avoir traité les données d'une victime d'usurpation d'identité, soulignant que des mesures de vérification d'identité insuffisantes lors d'une souscription à distance vicient la base légale du traitement. La mise en place de mesures correctrices en cours de procédure a conduit à une réduction très substantielle du montant de l'amende initialement envisagée.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de MUTUA MADRILEÑA AUTOMOVILISTA SOCIEDAD DE SEGUROS A PRIMA FIJA (comprenant le prononcé d'une amende de 5 000 €) pour des manquements en lien avec l'absence de base légale pour le traitement des données d'une personne victime d'usurpation d'identité.

L'affaire trouve son origine dans la plainte d'une personne ayant découvert qu'une police d'assurance automobile avait été souscrite à son nom, sans sa connaissance, par un tiers usurpant son identité.

Motifs de la décision

• Obligation de licéité du traitement (article 6, paragraphe 1, du RGPD) : L'autorité a constaté que la société d'assurance avait traité les données personnelles du plaignant (nom, prénom, numéro de document national d'identité) sans disposer d'une base légale valide. La société invoquait la nécessité du traitement pour l'exécution d'un contrat auquel la personne concernée était partie, conformément à l'article 6, paragraphe 1, point b, du RGPD. Cependant, l'autorité a jugé que cette base légale était inapplicable, car le plaignant, victime d'une usurpation d'identité, n'avait jamais été réellement partie au contrat d'assurance souscrit frauduleusement par un tiers. Le manquement découle directement de la négligence de la société, qui n'a pas mis en œuvre de mesures de vérification d'identité adéquates lors de la souscription par téléphone, se contentant des informations fournies par l'appelant et d'une confirmation par message texte (SMS). L'autorité s'appuie sur la jurisprudence du Tribunal Suprême espagnol (notamment la sentence du 13 décembre 2021, recours en cassation n° 6109/2020) qui établit que l'intervention frauduleuse d'un tiers n'exonère pas le responsable du traitement de sa responsabilité s'il n'a pas mis en place les mesures de contrôle et de vérification suffisantes pour s'assurer que la personne qui contracte est bien celle qu'elle prétend être.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 5 000 € à MUTUA MADRILEÑA AUTOMOVILISTA SOCIEDAD DE SEGUROS A PRIMA FIJA.

En outre, l'autorité a ordonné à la société de bloquer les données personnelles du plaignant dans un délai de trois mois à compter de la date à laquelle la décision deviendra définitive.

Enseignements

Cette décision rappelle que :

• La responsabilité du traitement de données sans base légale incombe au responsable du traitement, même en cas d'usurpation d'identité par un tiers, si les mesures de vérification d'identité lors de la souscription à distance sont jugées insuffisantes.
• La base légale de l'exécution d'un contrat (article 6, paragraphe 1, point b, du RGPD) ne peut être invoquée que si l'existence d'un contrat valide avec la personne concernée est avérée, ce qui est impossible en cas d'usurpation d'identité non détectée.
• L'implémentation de mesures correctrices efficaces en cours de procédure, telles qu'un nouveau système de vérification d'identité, peut être considérée par l'autorité comme un facteur déterminant pour réduire de manière très significative le montant de l'amende.