L'autorité espagnole sanctionne un sous-traitant de rang 2 pour sous-traitance ultérieure illégale : il avait une autorisation générale du sous-traitant de rang 1 ... mais ce dernier ne l'avait pas obtenue du responsable de traitement
L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de SENDING TRANSPORTE Y COMUNICACIÓN, S.A. (comprenant le prononcé d'une amende de 80 000 €) pour des manquements en lien avec ses obligations en tant que sous-traitant.
Cette affaire débute par une plainte transmise par la Banque d'Espagne, signalant la perte de documents personnels contenant une copie de pièce d'identité, lors de leur transport par un service de messagerie.
L’enquête menée par l’autorité a permis de constater :
* Obligation de recourir à un autre sous-traitant uniquement avec l'autorisation écrite préalable du responsable de traitement (article 28, paragraphe 2 du RGPD) : La société, agissant en tant que sous-traitant de rang 2 pour le compte de la banque ING, a confié la collecte de documents à une autre entreprise, AUTORADIO. Cette sous-traitance ultérieure a été effectuée sans l'autorisation écrite et préalable d'ING, le responsable de traitement. L'autorité a précisé que l'autorisation générale fournie par le sous-traitant de rang 1 (DYNAMIC) n'était pas suffisante, car l'obligation d'autorisation s'applique à tous les maillons de la chaîne et doit émaner du responsable de traitement initial. Or, le contrat entre ING et DYNAMIC ne prévoyait pas de régime d'autorisation générale, rompant ainsi la chaîne de légitimité requise pour la sous-traitance.
* Obligation d'imposer les mêmes obligations de protection des données au sous-traitant ultérieur par contrat (article 28, paragraphe 4 du RGPD) : La relation entre la société sanctionnée et son propre sous-traitant était régie par un avenant à un contrat de services datant de 2009, jugé non conforme. L'autorité a constaté que cet acte juridique n'identifiait pas le responsable de traitement (ING), ne répercutait pas les obligations spécifiques imposées par le contrat principal et manquait de précisions essentielles telles que l'objet, la durée et la nature du traitement, l'avenant étant par ailleurs antérieur à la relation contractuelle entre le responsable de traitement et le sous-traitant principal.
En conséquence, l’autorité a imposé une amende de 80 000 € à SENDING TRANSPORTE Y COMUNICACIÓN, S.A.
Cette affaire débute par une plainte transmise par la Banque d'Espagne, signalant la perte de documents personnels contenant une copie de pièce d'identité, lors de leur transport par un service de messagerie.
L’enquête menée par l’autorité a permis de constater :
* Obligation de recourir à un autre sous-traitant uniquement avec l'autorisation écrite préalable du responsable de traitement (article 28, paragraphe 2 du RGPD) : La société, agissant en tant que sous-traitant de rang 2 pour le compte de la banque ING, a confié la collecte de documents à une autre entreprise, AUTORADIO. Cette sous-traitance ultérieure a été effectuée sans l'autorisation écrite et préalable d'ING, le responsable de traitement. L'autorité a précisé que l'autorisation générale fournie par le sous-traitant de rang 1 (DYNAMIC) n'était pas suffisante, car l'obligation d'autorisation s'applique à tous les maillons de la chaîne et doit émaner du responsable de traitement initial. Or, le contrat entre ING et DYNAMIC ne prévoyait pas de régime d'autorisation générale, rompant ainsi la chaîne de légitimité requise pour la sous-traitance.
* Obligation d'imposer les mêmes obligations de protection des données au sous-traitant ultérieur par contrat (article 28, paragraphe 4 du RGPD) : La relation entre la société sanctionnée et son propre sous-traitant était régie par un avenant à un contrat de services datant de 2009, jugé non conforme. L'autorité a constaté que cet acte juridique n'identifiait pas le responsable de traitement (ING), ne répercutait pas les obligations spécifiques imposées par le contrat principal et manquait de précisions essentielles telles que l'objet, la durée et la nature du traitement, l'avenant étant par ailleurs antérieur à la relation contractuelle entre le responsable de traitement et le sous-traitant principal.
En conséquence, l’autorité a imposé une amende de 80 000 € à SENDING TRANSPORTE Y COMUNICACIÓN, S.A.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire