L'autorité hellénique de protection des données a publié une décision de sanction à l'encontre de Vodafone – PANAFON S.A.E.T., comprenant le prononcé d'une amende totale de 700 000 €, et de son sous-traitant DS Phone, sanctionné à hauteur de 40 000 €, pour des manquements liés à l’activation non autorisée de lignes téléphoniques.
Cette affaire débute par la plainte d'une personne physique signalant que de multiples lignes de téléphonie mobile prépayées avaient été activées à son nom sans son consentement, en utilisant les informations de sa carte d'identité.

L’enquête menée par l’autorité a permis de constater :
* Obligation de recourir à des sous-traitants présentant des garanties suffisantes (article 28 du RGPD) : Vodafone n'a pas veillé à ce que son sous-traitant, la société DS Phone, offre des garanties suffisantes. Au moment de l'incident en octobre 2022, aucun contrat conforme à l'article 28, paragraphe 3 du RGPD n'était en place entre les deux entités. De plus, l'autorité a estimé que la supervision exercée par Vodafone était inefficace, n'ayant pas détecté les pratiques non conformes de son partenaire, notamment l'activation de multiples numéros pour des groupes de touristes sous l'identité d'une seule personne.
* Obligation d'exactitude des données (article 5, paragraphe 1, point d du RGPD) : Vodafone a conservé des données inexactes en associant la plaignante à des lignes téléphoniques qu'elle n'avait pas souscrites. Cette inexactitude a été aggravée par la transmission d'informations erronées aux autorités judiciaires à deux reprises, en raison d'un manque de synchronisation entre ses systèmes d'information, ce qui a entraîné des conséquences négatives pour la plaignante.
* Obligation de sécurité du traitement et de traitement sous l'autorité du responsable du traitement (articles 29 et 32 du RGPD) : La société DS Phone a réutilisé la pièce d'identité de la plaignante, stockée dans le système lors d'une précédente transaction, pour activer 14 nouvelles lignes au profit de tiers. Cette pratique a violé les instructions de Vodafone et a démontré une absence de mesures techniques et organisationnelles appropriées pour garantir la sécurité des données.
* Obligation de mettre en œuvre des mesures de sécurité appropriées (article 12 de la loi 3471/2006) : L'autorité a constaté que les mesures de sécurité de Vodafone pour l'attribution de numéros de carte SIM étaient inadéquates. L'analyse d'impact relative à la protection des données réalisée tardivement après l'incident a été jugée insuffisante, car elle n'évaluait pas correctement les risques liés à la réutilisation de documents d'identité par les partenaires.

En conséquence, l’autorité a imposé une amende totale de 700 000 € à Vodafone – PANAFON S.A.E.T. et une amende de 40 000 € à DS Phone.
En outre, l’autorité a adressé une mise en garde à Vodafone et lui a ordonné de mettre en œuvre des mesures techniques pour renforcer la sécurité lors de l'attribution de nouveaux numéros, dans un délai de trois mois.