L’autorité espagnole de protection des données a publié une décision de sanction à l’encontre de la Société de Gestion des Actifs issus de la Restructuration Bancaire, S.A. (SAREB), comprenant le prononcé d’une amende de 180 000 € pour des manquements liés à une violation de données personnelles.

Cette affaire débute par la notification à l’Agence espagnole de protection des données (AEPD) d’une violation de données personnelles par STRATESYS TECHNOLOGY SOLUTIONS S.L. le 30 août 2023, étendue le 26 septembre 2023, causée par une attaque informatique de type rançongiciel affectant la confidentialité et la disponibilité des données. La violation impliquait des données sensibles de clients, dont SAREB, avec une exfiltration et publication ultérieure sur le deepweb. SAREB a également notifié une violation le 6 octobre 2023, étendue le 2 novembre 2023, concernant des données d’anciens employés entre novembre 2013 et février 2017. Une plainte a été déposée le 17 octobre 2023 pour une possible infraction imputable à SAREB relative à la communication des données après la violation.

L’enquête menée par l’autorité a permis de constater :
* Obligation de garantir la sécurité des données (article 5.1.f) du RGPD) : SAREB n’a pas mis en place des mesures techniques et organisationnelles appropriées pour assurer la confidentialité et la disponibilité des données personnelles, ce qui a permis l’accès et l’exfiltration des données par un attaquant lors du rançongiciel. La violation a affecté environ 7 200 personnes, dont 360 employés de SAREB. La violation a ainsi affecté la confidentialité et la disponibilité des données, avec un accès non autorisé confirmé et une publication partielle sur la deepweb.
* Obligation de conclure un contrat clair avec l’opérateur de traitement (article 28 du RGPD) : Le contrat entre SAREB et STRATESYS, bien que signé, ne comportait pas de mesures de sécurité spécifiques ni d’instructions précises (notamment en ce qui concerne les durées de conservation), et aucune supervision effective n’a été démontrée par SAREB. Il a ainsi été jugé non conforme au RGPD par l'autorité.

En conséquence, l’autorité a imposé une amende de 180 000 € à SAREB, après application de réductions pour reconnaissance de responsabilité et paiement rapide, la sanction initiale s’élevant à 300 000 € (250 000 € pour la violation de l’article 5.1.f) et 50 000 € pour celle de l’article 28 du RGPD).

En outre, l’autorité a ordonné à SAREB de notifier dans un délai de trois mois à compter de la décision définitive les mesures correctives visant à assurer la conformité, notamment la mise en œuvre effective de mesures techniques et organisationnelles et la conclusion d’un contrat de traitement conforme au RGPD.