Sanction de 90 000 € infligée à ONEY par l'autorité espagnole pour manquements à la sécurité des données personnelles
L’autorité espagnole de protection des données a publié une décision de sanction à l’encontre de ONEY SERVICIOS FINANCIEROS EFC, S.A. (ONEY), comprenant le prononcé d’une amende de 90 000 € pour des manquements liés à la sécurité des données personnelles dans son espace client en ligne.
Cette affaire débute par une réclamation déposée le 27 novembre 2023, signalant un possible manquement de ONEY à ses obligations de protection des données suite à un cas de fraude par « vishing » et une présumée négligence dans la garde des données personnelles du plaignant. Le requérant a constaté des modifications non autorisées de ses données personnelles sur son compte web, sans réception des codes de vérification, et la création de comptes liés sans son consentement.
L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir la confidentialité des données personnelles (article 5.1.f) du RGPD) : ONEY a permis qu’un tiers accède sans autorisation à l’espace privé du plaignant, modifie ses données personnelles et crée de nouveaux comptes, sans détecter cette intrusion. Le système d’authentification reposait sur la connaissance de trois données personnelles (DNI, date de naissance, derniers chiffres de la carte) et l’envoi d’un code OTP à un numéro de téléphone non vérifié, appartenant à un tiers, ce qui a facilité la fraude. L’entreprise n’a également pas adopté de procédures ou d’alertes permettant de détecter ou prévenir les accès frauduleux et n’a pas vérifié la titularité du numéro de téléphone destinataire du code OTP. Le système d’authentification ne respectait pas les exigences de double authentification renforcée prévues par la réglementation applicable aux services de paiement.
En conséquence, l’autorité a imposé une amende de 90 000 € à ONEY, après application de réductions successives sur le montant initial de 150 000 € en raison de la reconnaissance de responsabilité et du paiement volontaire.
En outre, l’autorité a ordonné à ONEY d’adopter des mesures correctives techniques et organisationnelles, incluant un analyse des risques et la modification du système d’authentification, avec obligation de justifier ces mesures dans un délai de trois mois.
Cette affaire débute par une réclamation déposée le 27 novembre 2023, signalant un possible manquement de ONEY à ses obligations de protection des données suite à un cas de fraude par « vishing » et une présumée négligence dans la garde des données personnelles du plaignant. Le requérant a constaté des modifications non autorisées de ses données personnelles sur son compte web, sans réception des codes de vérification, et la création de comptes liés sans son consentement.
L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir la confidentialité des données personnelles (article 5.1.f) du RGPD) : ONEY a permis qu’un tiers accède sans autorisation à l’espace privé du plaignant, modifie ses données personnelles et crée de nouveaux comptes, sans détecter cette intrusion. Le système d’authentification reposait sur la connaissance de trois données personnelles (DNI, date de naissance, derniers chiffres de la carte) et l’envoi d’un code OTP à un numéro de téléphone non vérifié, appartenant à un tiers, ce qui a facilité la fraude. L’entreprise n’a également pas adopté de procédures ou d’alertes permettant de détecter ou prévenir les accès frauduleux et n’a pas vérifié la titularité du numéro de téléphone destinataire du code OTP. Le système d’authentification ne respectait pas les exigences de double authentification renforcée prévues par la réglementation applicable aux services de paiement.
En conséquence, l’autorité a imposé une amende de 90 000 € à ONEY, après application de réductions successives sur le montant initial de 150 000 € en raison de la reconnaissance de responsabilité et du paiement volontaire.
En outre, l’autorité a ordonné à ONEY d’adopter des mesures correctives techniques et organisationnelles, incluant un analyse des risques et la modification du système d’authentification, avec obligation de justifier ces mesures dans un délai de trois mois.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire