L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de XFERA MÓVILES, S.A.U. (comprenant le prononcé d'une amende de 4 000 000 €) pour des manquements en lien avec la sécurité des données personnelles suite à une violation de données de grande ampleur.

Cette affaire débute par plusieurs plaintes de personnes concernées suite à la notification d'une violation de données par la société, qui avait également signalé l'incident à l'autorité.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : Une violation de sécurité a permis à des tiers non autorisés d'accéder et d'exfiltrer les données personnelles d'environ ***CANTIDAD.4 clients. Les données compromises, incluant des informations telles que le nom, le numéro d'identification national et le numéro de compte bancaire (IBAN), n'étaient ni chiffrées, ni anonymisées, ce qui a entraîné une perte avérée de confidentialité.

* Obligation de sécurité du traitement (article 32 du RGPD) : L'autorité a jugé que les mesures techniques et organisationnelles mises en place par la société étaient insuffisantes pour garantir un niveau de sécurité approprié au risque. Il a été constaté qu'une mesure d'authentification à deux facteurs sur une application critique avait été rendue inefficace en raison d'une erreur de configuration, permettant l'accès non autorisé. L'absence de chiffrement des données, notamment des numéros de compte bancaire, a également été retenue comme une défaillance dans la mise en œuvre de mesures de sécurité adéquates.

En conséquence, l’autorité a imposé une amende de 4 000 000 € à XFERA MÓVILES, S.A.U.

En outre, l’autorité a ordonné la publication de sa décision au Journal Officiel de l'État.