L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre d'ORANGE ESPAGNE, S.A.U. (comprenant le prononcé d'une amende de 230 000 €) pour des manquements en lien avec la sécurité du traitement des données personnelles dans le cadre de la gestion des demandes de duplicata de cartes SIM. Cette affaire débute par une plainte déposée par un client de la marque Jazztel, signalant plusieurs tentatives de duplication de sa carte SIM ayant abouti à des transferts bancaires frauduleux.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que les mesures de sécurité d'Orange étaient insuffisantes pour empêcher une usurpation d'identité. Malgré plusieurs tentatives de fraude infructueuses et la présence d'une note d'alerte dans les systèmes d'information concernant le plaignant, un tiers a réussi à obtenir un duplicata de la carte eSIM par téléphone. L'enquête a révélé que les protocoles de vérification d'identité présentaient des faiblesses générales et n'avaient pas été correctement mis en œuvre par l'agent traitant la demande. L'autorité a conclu que cette défaillance dans la protection des données personnelles constituait une violation de l'obligation de garantir un niveau de sécurité adapté au risque.

En conséquence, l’autorité a imposé une amende de 230 000 € à ORANGE ESPAGNE, S.A.U.

En outre, l’autorité a ordonné à la société d'adopter, dans un délai de six mois, des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données lors de la gestion des duplicatas de cartes SIM et ainsi éviter que des incidents similaires ne se reproduisent.