L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de SANTANDER CONSUMER FINANCE, S.A., comprenant le prononcé d'une amende de 500 000 €, pour des manquements en lien avec la sécurité des données personnelles suite à une violation de données.
Cette affaire débute par plusieurs notifications de violations de données émanant de la société et de ses sous-traitants, complétées par des plaintes de personnes concernées signalant l'exposition de leurs données personnelles suite à un incident de sécurité chez un fournisseur.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté que la société n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Une violation de données chez un sous-traitant, MARKTEL GLOBAL SERVICES S.A., a entraîné la fuite et la publication sur le web profond d'une base de données contenant 1 027 969 enregistrements, affectant 124 595 clients de SANTANDER CONSUMER. Parmi les données exposées figuraient des informations d'identification, des coordonnées et, pour 105 401 clients, des numéros de compte IBAN non chiffrés. L'autorité a également relevé que le contrat liant la société à son sous-traitant ORANGE ESPAGNE SAU était obsolète et ne respectait pas les exigences de l'article 32 du RGPD, en se référant à un "niveau de sécurité moyen" inadapté.

En conséquence, l’autorité a imposé une amende de 500 000 € à SANTANDER CONSUMER FINANCE, S.A.
En outre, l’autorité a ordonné à la société d'adopter, dans un délai de six mois, les mesures nécessaires pour garantir la confidentialité et l'intégrité des données et de justifier de leur mise en place.