L'Autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de OVH HISPANO, S.L.U. (comprenant le prononcé d'une amende de 72 000 €) pour des manquements en lien avec la sécurité des données personnelles.

Cette affaire débute par une plainte déposée le 3 avril 2023, signalant que le plaignant, après avoir demandé une modification de données sur son compte, a reçu des copies de plus de 100 courriels d'autres utilisateurs, contenant leurs données personnelles et des documents d'identité.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté qu'une erreur technique a provoqué l'abonnement erroné du plaignant à une liste de diffusion interne. Cette faille a entraîné la divulgation non autorisée de données personnelles de 186 personnes au plaignant, y compris des noms, adresses, et des copies de documents d'identité et d'actes notariés. L'autorité a souligné que ces données n'étaient ni chiffrées ni protégées, et a retenu comme circonstance aggravante le manque de diligence de l'entreprise, qui a mis six mois à corriger la faille après la première alerte du plaignant, ainsi que la nature de son activité directement liée au traitement de données.

En conséquence, l’autorité a imposé une amende de 120 000 € à OVH HISPANO, S.L.U, finalement réduite à 72 000 € dans le cadre des procédures de paiement volontaire et de reconnaissance de responsabilité.