L'année 2025 commence d'emblée par des « semaines espagnoles » : en janvier 2025, aucune autorité de protection des données de l'UE n'a infligé autant d'amendes aussi élevées que l'Agencia Española de Protección de Datos (AEPD). Deux amendes élevées ont été infligées pour l'utilisation de systèmes biométriques de reconnaissance faciale. Une nouvelle tendance ? Le géant de la téléphonie mobile Vodafone est à nouveau concerné. Le groupe semble incapable de maîtriser les manquements de certains de ses collaborateurs.
Generali España : 4 millions d'euros (Espagne)
L'autorité espagnole chargée de la protection des données Agence espagnole de protection des données (AEPD) a un Procédure d'amende contre Generali España, société anonyme d'assurance et de réassurance a été inauguré après qu'un, le 5 octobre 2022, un Incident de sécurité a été constaté. L'incident concernait un Attaque par force brute au système de gestion des données clients de Generali. En utilisant de manière abusive les identifiants d'un courtier en assurance, des personnes non autorisées ont pu accéder à données à caractère personnel de clients et d'anciens clients. Ce n'est que le 11 novembre 2022 que l'on a appris qu'une Base de données d'ex-clients à vendre sur un forum Telegram a été proposée. Cela concernait les données de plus de 1,6 million de personnes concernés. Les données en question étaient les suivantes Noms, adresses, numéros de téléphone, dates de naissance, numéros de carte d'identité (DNI) et numéros de compte IBAN.
Generali a informé les personnes concernées entre le 15 et le 28 novembre 2022 par e-mail ou par courrier sur l'incident. Pour Personnes concernéesdont les coordonnées n'étaient pas disponibles, une publication sur le site web publié. L'enquête a révélé que Generali absence de mesures techniques et organisationnelles suffisantes pour protéger les données. Il manquait notamment une Évaluation des risques ainsi qu'une Analyse d'impact relative à la protection des données pour les applications concernées. De plus, les courtiers en assurance avaient continuer à avoir accès aux données des anciens clientsCe qui est contraire au principe de la protection des données Minimisation des données enfreint. Il manquait également des procès-verbaux concernant la Traçabilité des accès sur les données concernées.
Selon l'AEPD, Generali a enfreint plusieurs articles de la RGPD:
- Article 5, paragraphe 1, point f RGPD: violation du Principe de confidentialité par l'accès non autorisé à données à caractère personnel.
- Article 25 RGPD: Absence de Mesures de protection des données dès la conception (« Privacy by Design »).
- Article 32 RGPD: Mesures de sécurité insuffisantes pour prévenir les violations de la protection des données.
- Article 35 RGPD: Absence de Analyse d'impact relative à la protection des données pour les traitements de données présentant des risques particulièrement élevés.
En raison de la gravité des infractions, une Amende d'un montant total de 4 millions d'euros.
Sambla Group Oy : 950 000 euros (Finlande)
Le site Autorité finlandaise de protection des données Tietosuojavaltuutetun toimisto a fait contre Sambla Group Oy un Procédure d'amende a été lancée après que le 23 décembre 2022 un Plainte est entré en vigueur. Le site Plainte concernait l'insuffisance Sécurité des données auprès des plateformes de courtage de crédit en ligne lainaparkki.fi et rahoitu.fi.
Il a été constaté que les les données personnelles des demandeurs de crédit étaient accessibles via des liens URL individuels, mais non sécurisés. Ces liens étaient faciles à deviner, de sorte que Troisième avec connaissance de la structure sur sensible données à caractère personnel ont pu y accéder.
Sur le site 25 mars 2024 l'autorité chargée de la protection des données a infligé une mesure provisoireLe groupe Sambla Oy a interdit l'utilisation de la marque Sambla, données à caractère personnel aux personnes souhaitant obtenir un crédit via des liens URL non sécurisés. L'autorité a constaté que, dans ces formulaires de demande de crédit, informations sensibles telles que le nom complet, la date de naissance, le numéro d'identification, l'adresse e-mail, le numéro de téléphone, l'adresse postale, les revenus, la situation professionnelle et les informations relatives au crédit. Il a été établi que des dizaines de milliers d'accès non autorisés à ces données ont eu lieu, en partie grâce à l'automatisation Attaques par force brute ou par Indexation par les moteurs de recherche comme Google.
L'autorité chargée de la protection des données a qualifié le comportement de Sambla Group Oy de Violation contre plusieurs articles de la RGPD, en particulier :
- Article 5.1(f) RGPD: violation du principe de la Confidentialité et Intégrité.
- Article 25 RGPD: Absence de Mesures de protection des données dès la conception (« Privacy by Design »).
- Article 32 RGPD: Mesures de sécurité insuffisantes pour prévenir les violations de la protection des données.
Bien que l'entreprise ait pris des mesures a posteriori, telles que la Désactivation des liens non sécurisésqui Mise en place d'une authentification à deux facteurs et les Réduction de la durée de validité des liens URL, L'autorité a jugé ces mesures comme étant trop tard et insuffisante. La violation de la protection des données concernait une grand nombre de personnes et Sambla Group Oy aurait devoir réagir plus tôt.
Conseil de lecture : Les amendes les plus élevées en décembre 2024
Le site Amende a été arrêté par l'autorité de protection des données 950 000 euros a été fixée. La motivation de la peine s'appuyait sur la Gravité de l'infractionqui Durée du problème (depuis plusieurs années) et les manque d'initiative personnelle de l'entreprise pour remédier aux problèmes de protection des données.
Source : Avis d'amende de la Tietosuojavaltuutetun toimisto a fait contre Sambla Group Oy
Cartonajes Bañeres, S.A. : 220 000 euros (Espagne)
L'autorité espagnole chargée de la protection des données Agence espagnole de protection des données (AEPD) a un Procédure d'amende contre Cartonajes Bañeres, S.A. après qu'un ancien employé a été arrêté le 11 octobre 2022 un Plainte avait déposé. Le site Plainte se référait à l'utilisation d'un système de reconnaissance biométrique pour la saisie du temps de travail, où Scanner les visages des employés ont été faites. Le salarié avait des inquiétudes concernant Stockage des données biométriques a déclaré. Il a par ailleurs demandé le 29 août 2022, l'accès à ses données à caractère personnelmais a reçu de la société pas de réponse appropriée.
Au cours de l'enquête, il est apparu que Cartonajes Bañeres était une Système de reconnaissance faciale pour le Feuille de temps a été utilisé. La société a nié que Prises de vue du visage ont été enregistrées. Il a toutefois précisé que un algorithme détecte certaines caractéristiques du visage et de les utiliser comme hash biométrique stocke les données. Ce Valeurs de hachage ont ensuite été recoupées avec une base de données afin d'identifier l'employé. Selon l'AEPD, cette technologie constitue une hautement sensible Traitement données biométriques est.
Il a en outre été établi que la demande d'informations de l'ancien collaborateur n'a pas été traitée en bonne et due forme. Bien que la société ait affirmé qu'une réponse par Fax mais l'adresse n'était pas la bonne. incorrect, et le demandeur n'a pas reçu d'informations complètes concernant la données biométriques enregistrées.
L'AEPD a constaté que Cartonajes Bañeres avait enfreint plusieurs Article de la RGPD n'a pas respecté la loi :
- Article 35 RGPD: Les nécessaire Analyse d'impact relative à la protection des données Aucune évaluation n'a été réalisée concernant l'utilisation des données biométriques.
- Article 12 RGPD: Le Demande d'accès de l'employé n'a pas été traité correctement, ce qui a entraîné une Violation contre les Droits des personnes concernées représente.
L'AEPD a donc imposé une Amende d'un montant de 220 000 euros contre Cartonajes Bañeres, répartis comme suit :
- 200 000 euros pour le Violation contre l'article 35 RGPD (pas de Analyse d'impact relative à la protection des données).
- 20 000 euros pour le Violation contre l'article 12 RGPD (réponse insuffisante à la demande d'accès aux données).
Source : Avis d'amende de la Agence espagnole de protection des données contre Cartonajes Bañeres, S.A.
Club Atlético Osasuna : 200 000 euros (Espagne)
Le site Agence espagnole de protection des données (AEPD) a Procédure d'amende contre le Club Atlético Osasuna a été lancée après que le 22 novembre 2022 un Plainte avait été reçue. Le site Plainte était dirigée contre l'introduction d'un système de reconnaissance faciale biométrique (SBRF) vers Contrôle d’accès système au stade El Sadarqui se trouve dans le Avril 2022 a été introduite. Selon la Plainte le système a limité les Droits et libertés fondamentaux restreignait de manière disproportionnée l'accès des spectateurs au stade, même en cas d'autorisation d'utilisation.
Lors de la Enquête par l'AEPD, il s'est avéré que le système, en collaboration avec La Liga ainsi que les entreprises technologiques DAS-GATE et VERIDAS a été développé. Il était destiné à faciliter l'accès au stade pour les abonnés grâce à la reconnaissance faciale, mais est resté un option facultativeLa carte d'adhérent a été remplacée par une carte d'accès numérique, qui permettait de continuer à utiliser la carte d'adhérent physique ou un accès numérique par smartphone.
Il a également été constaté qu'Osasuna avait une Analyse d'impact relative à la protection des données avait menée afin de déterminer la Base juridique de la Traitement données biométriques de légitimer le système. Le club a fait valoir que le système sur une base volontaire et que les personnes concernées ont une consentement explicite vers Traitement de leurs données biométriques. De plus, le système est sûr, car il n'y a pas d'images, mais seulement des données mathématiques. vecteurs biométriques seraient enregistrées.
L'AEPD a constaté que les Nécessité et proportionnalité l'efficacité de la mesure était discutable. Même si le système était considéré comme volontaire a été déclaré, l'autorité a constaté qu'il pouvait exister une certaine pression sociale ou psychologique, d'autant plus que le club présentait ce système comme une alternative „ plus rapide et plus pratique “. L'AEPD a également souligné que manque de Transparence lors de l'information des personnes concernées et sur le Absence de base légale claire pour la mise en œuvre de ces technologies dans les stades de football.
Osasuna a finalement été qualifié pour le utilisation illicite de la reconnaissance faciale biométrique à la Contrôle d’accès système avec un Amende d'un montant de 200.000 euros. Selon l'AEPD, la Base juridique contestable était et que la mesure enfreint le principe de la Minimisation des données et nécessité. Dans sa décision, l'AEPD souligne que l'utilisation de systèmes de reconnaissance faciale doit répondre à des exigences particulièrement strictes afin de garantir les droits des personnes concernées.
Vodafone España : 200 000 euros (Espagne)
Le site Agence espagnole de protection des données (AEPD) a un Procédure d'amende contre Vodafone España, S.A.U. après qu'une cliente a été blessée le 7 mars 2023 un Plainte avait déposé. Le site Plainte concernait un duplication non autorisée de la carte SIMqui a eu lieu le 8 avril 2022 a été délivrée sans le consentement des personnes concernées. À la suite de cette usurpation d'identité, des opérations non autorisées ont été effectuées des transactions bancaires ont été effectuées sur le compte de la cliente.
Selon l'enquête de l'AEPD, le 8 avril 2022 à 19h47 une première tentative de créer une nouvelle carte SIM pour les concernés numéro de téléphone mobile. Cette tentative a d'abord échoué, mais déjà cinq minutes plus tard une nouvelle demande a été déposée, qui a finalement été acceptée. La carte SIM frauduleuse a été obtenue via un Centre d'appel de Vodafone activé, ce qui a permis à l'auteur de prendre le contrôle concernés numéro de téléphone. Ce n'est que le 9 avril 2022 à 12:26 la carte SIM frauduleuse a été bloquée après que Personnes concernées avait informé Vodafone qu'elle n'avait plus accès à sa connexion mobile.
L'AEPD a constaté que Vodafone n'avait pas appliqué de manière cohérente ses propres directives de sécuritécar les agents des centres d'appels sont en fait n'étaient pas habilités à autoriser la délivrance de cartes SIM en double pour le compte de prétendus employés des boutiques Vodafone. Cela indique une Négligence dans la mise en œuvre des mesures de sécurité internes vers.
Par ailleurs, Vodafone avait intenté une action contre Art. 6, paragraphe 1 RGPD a enfreint la directive Traitement données personnelles de la cliente qui a été effectuée sans leur consentement légal. L'autorité a donc décidé de, une amende de 200 000 euros d'infliger. L'AEPD n'a pas envisagé de réduction de la sanction, car des infractions similaires s'étaient déjà produits plusieurs fois par le passé.
Source : Avis d'amende de la Agence espagnole de protection des données contre Vodafone España, S.A.U.
Correo Inteligente Postal, S.L. : 200 0000 euros (Espagne)
Le site Agence espagnole de protection des données (AEPD) a un Procédure d'amende contre la société Correo Inteligente Postal, S.L. (CI POSTAL) a été lancée après que le 22 septembre 2022 le Police municipale de Palma de Majorque a présenté un rapport. Il y a été constaté qu'au total 1.404 lettres contenant des données personnelles ont été retrouvées dans un terrain abandonné. Ces lettres provenaient de plusieurs entreprises, parmi lesquelles La Caixa, BBVA, Endesa et Naturgy, et auraient en fait dû être distribués aux destinataires.
Un représentant de CI POSTAL a reconnu le logo de l'entreprise sur les lettres laissées sur place et a confirmé que l'envoi des lettres avait été confié à quatre collaborateurs. Il n'a toutefois pas été possible de déterminer quels collaborateurs étaient responsables de la non-livraison.
Sur le site 17 novembre 2022 un autre incident a été signalé : Le site Direction générale de la police des îles Baléares a de nouveau eu lieu 5.354 lettres non distribuées, qui avaient été déposées dans deux quartiers différents de Palma de Majorque. Certaines lettres avaient été ouvertes, tandis que d'autres étaient intactes. Ces lettres contenaient des informations sensibles provenant de banques, de fournisseurs d'énergie et d'opérateurs de téléphonie mobile.
L'AEPD a constaté que CI POSTAL à plusieurs articles du règlement général sur la protection des données (RGPD) :
- Article 5.1(f) RGPD: L'entreprise n'a pas pris de mesures suffisantes pour garantir la Confidentialité et Intégrité de garantir la protection des données à caractère personnel.
- Article 32 RGPD: Manque de mesures de sécurité ont conduit à ce que des personnes non autorisées Troisième sur données à caractère personnel ont pu y accéder.
L'AEPD a infligé une sanction à CI POSTAL un Amende sur un total de 200 000 euros. De plus, l'entreprise a été contrainte, dans un délai de six mois un Système de traçabilité et de contrôle de la distribution du courrier mettre en place afin de garantir que le courrier soit distribué correctement.
Réaction de CI POSTAL : L'entreprise a licencié les employés concernés et a organisé des formations afin d'éviter que des incidents similaires ne se reproduisent à l'avenir. Toutefois, aucun système technologique n'a été mis en place pour garantir la traçabilité des envois.
German 
English 
Italian 
French