L'autorité espagnole de protection des données (AEPD) a sanctionné Vodafone España à hauteur de 1 050 000 € pour des manquements graves aux principes de licéité et de sécurité, ayant permis l'ouverture d'une ligne et la communication d'une facture à un tiers non autorisé.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de Vodafone España, S.A.U. (comprenant le prononcé d'une amende de 1 050 000 €) pour des manquements en lien avec la licéité du traitement et la sécurité des données personnelles.

L'affaire trouve son origine dans la plainte d'une cliente dont la facture, contenant des données personnelles, a été communiquée à un tiers sans son consentement, et ce malgré une demande préalable de renforcement de la sécurité de son compte.

Motifs de la décision

• Obligation de licéité du traitement (article 6, paragraphe 1 du RGPD) : L'autorité a constaté l'ouverture d'une ligne téléphonique au nom de la plaignante sans base légale. Bien que Vodafone ait invoqué un processus de validation par code à usage unique envoyé sur une autre ligne de la cliente, l'autorité a jugé que l'opérateur n'a pas démontré que la personne à l'origine de la demande avait légitimement passé les contrôles de sécurité, rendant le traitement illicite.
• Second manquement à l'obligation de licéité du traitement (article 6, paragraphe 1 du RGPD) : L'autorité a également retenu une violation pour la modification des données de contact de la plaignante et la communication d'un duplicata de sa facture à un tiers. Vodafone a reconnu qu'un agent de son sous-traitant n'avait pas respecté la procédure de sécurité. L'absence d'enregistrement de l'appel a empêché de vérifier que le tiers avait satisfait aux exigences d'identification, privant ainsi le traitement de toute base légale.
• Obligation de sécurité du traitement (article 32 du RGPD) : L'autorité a conclu que les mesures techniques et organisationnelles de Vodafone étaient insuffisantes, notamment pour les gestions effectuées par téléphone. La politique de sécurité n'a pas permis d'empêcher un tiers d'accéder aux données et de réaliser des opérations non autorisées. L'autorité a souligné que la fraude d'un tiers n'exonère pas le responsable de sa responsabilité si ses mesures de contrôle et de vérification sont défaillantes, citant en appui la jurisprudence du Tribunal Suprême espagnol (recours 6109/2020).

Décision de l'autorité

En conséquence, l'autorité a imposé une amende totale de 1 050 000 € à Vodafone España, S.A.U., décomposée en 150 000 € pour l'ouverture de ligne illicite, 150 000 € pour la communication de la facture, et 750 000 € pour le manquement à l'obligation de sécurité.

En outre, l'autorité a ordonné à Vodafone d'adopter, dans un délai de six mois, les mesures nécessaires pour mettre ses traitements en conformité avec les articles 6 et 32 du RGPD, afin d'empêcher que des tiers puissent réaliser des opérations non autorisées.

Enseignements

Cette décision rappelle que :

• L'intervention frauduleuse d'un tiers n'exonère pas le responsable de traitement de sa responsabilité si les mesures de sécurité mises en place sont insuffisantes pour vérifier de manière robuste l'identité du demandeur.
• Le principe de responsabilité proactive (article 5, paragraphe 2 du RGPD) impose non seulement de mettre en œuvre des mesures de protection, mais aussi d'être en mesure de démontrer leur application effective, par exemple via l'enregistrement des appels critiques.
• Des manquements antérieurs de même nature constituent une circonstance aggravante (article 83, paragraphe 2, point e) du RGPD) justifiant une sanction plus élevée, en particulier pour les entreprises dont l'activité principale repose sur le traitement à grande échelle de données personnelles.
• La faute d'un employé ou d'un sous-traitant qui ne respecte pas une procédure interne n'atténue pas la responsabilité du responsable de traitement, mais révèle au contraire une défaillance dans ses mesures organisationnelles et de contrôle.