L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de VODAFONE ESPAÑA, S.A.U. (opérant également sous la marque LOWI), comprenant le prononcé d'une amende de 200 000 €, pour des manquements liés à la licéité du traitement dans le cadre d'une demande de duplicata de carte SIM. Cette affaire débute par une plainte déposée suite à la délivrance non autorisée d'un duplicata de la carte SIM de la plaignante à un tiers, ce qui a permis la réalisation d'opérations financières frauduleuses.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité du traitement (article 6, paragraphe 1 du RGPD) : L'opérateur a traité une demande de duplicata de carte SIM initiée par un tiers non autorisé. L'enquête a révélé que ce tiers avait préalablement réussi à modifier l'adresse de courriel associée au compte de la plaignante en contactant le service client par téléphone. L'autorité a constaté que l'opérateur n'avait pas respecté ses propres protocoles de sécurité, qui imposaient de vérifier que l'appel provenait d'une ligne du titulaire du contrat ou de procéder à un appel de vérification, ce qui n'a pas été fait. En ne vérifiant pas adéquatement l'identité du demandeur, l'entreprise a traité des données personnelles sans base juridique valable, permettant ainsi la délivrance frauduleuse du duplicata.

En conséquence, l’autorité a imposé une amende de 200 000 € à VODAFONE ESPAÑA, S.A.U.