L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de UNICAJA BANCO, S.A.U. (comprenant le prononcé d'une amende de 500 000 €) pour des manquements en lien avec la sécurité de son système de vidéosurveillance. Cette affaire débute par une plainte signalant que les employés d’un sous-traitant, en charge de la centrale de réception des alarmes, disposaient d'un accès non contrôlé et illimité à l'ensemble du système de vidéosurveillance de la banque.

L’enquête menée par l’autorité a permis de constater :

* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : Il a été constaté que tous les employés du sous-traitant, agissant en tant que chargé du traitement, accédaient aux images de vidéosurveillance via un identifiant et un mot de passe uniques et génériques. Cette configuration, qui empêche toute traçabilité des accès aux données personnelles (images de clients, employés et fournisseurs), constitue un manquement aux mesures de sécurité techniques et organisationnelles appropriées. L'autorité a retenu que la banque, en tant que responsable du traitement, n'a pas supervisé ni vérifié la mise en œuvre effective des mesures de sécurité par son sous-traitant, manquant ainsi à son obligation de garantir un niveau de sécurité adapté au risque.

En conséquence, l’autorité a imposé une amende de 500 000 € à UNICAJA BANCO, S.A.U., montant qui a été réduit à 400 000 € suite au paiement volontaire de la banque.

En outre, l’autorité a ordonné à la banque de prouver, dans un délai de trois mois, l'adoption et la mise en œuvre effective des mesures nécessaires pour se conformer à ses obligations de sécurité.