Nel febbraio 2025, l'autorità spagnola per la protezione dei dati Agencia española protección datos ha nuovamente emesso numerose multe per violazione della legge sulla protezione dei dati. GDPR pubblicati. I cinque più alti GDPR-Tutte le sanzioni sono state comminate in Spagna. Nel mese di febbraio hanno prevalso in particolare le sanzioni relative alla mancanza o all’insufficienza delle misure di sicurezza.
Suggerimento di lettura: Le cinque sanzioni più elevate ai sensi del GDPR nel gennaio 2025
Orange España, 1.200.000 euro (Spagna)
L'autorità spagnola per la protezione dei dati, Agencia española protección datos (AEPD), ha emesso una sentenza contro la società di telefonia mobile Orange España, S.A.U. Fine per un totale di 1,2 milioni di euro. Il motivo era il trattamento illecito dei dati in relazione all'emissione di duplicati di carte SIM. Un dipendente fraudolento di una società di franchising aveva creato una carta SIM senza l'autorizzazione di un cliente. In questo modo è stato possibile commettere frodi finanziarie attraverso i cosiddetti attacchi di SIM swapping. Il risultato è stato un furto di 9.000 euro dai conti del cliente. L'autorità ha riscontrato violazioni dell'art. 6 e dell'art. 25 del Codice Civile. GDPR fissata.
Orange ha sostenuto che si trattava di un caso di cattiva condotta individuale. L'autorità ha respinto questa tesi in quanto l'azienda non aveva adottato misure di protezione sufficienti. In particolare, è stato inviato un duplicato della carta SIM a un utente fraudolento. Terza parte emesse senza verificarne l'identità. A Orange è stato chiesto di adottare misure per verificare l'identità dei duplicati delle SIM entro sei mesi. Orange ha presentato ricorso, sostenendo che la sanzione era sproporzionata. L'autorità ha respinto il ricorso e ha confermato la decisione originale.
Fonte: Provvedimento sanzionatorio dell'AEPD nei confronti di Orange España, S.A.U.
Caja Rural de Jaén, 400.000 euro (Spagna)
L'autorità spagnola per la protezione dei dati AEPD ha imposto una multa alla banca cooperativa Caja Rural de Jaén, Barcelona y Madrid S.C.C. per una massiccia violazione della protezione dei dati causata da un attacco informatico al sistema bancario online. L'inadeguatezza delle misure di sicurezza ha portato alla divulgazione non autorizzata di dati sensibili dei clienti e quindi alla violazione dell'art. 5 par. 1 lett. f, dell'art. 32 par. 1 e dell'art. 33 del Codice Civile. GDPR.
La banca ha sostenuto che la responsabilità fosse del proprio fornitore di servizi informatici, Rural Servicios Informáticos S.L. L’autorità ha respinto tale affermazione, poiché la banca, in qualità di Persone responsabili per il Protezione dei dati è considerato il migliore. Il Fine è stata fissata a 500.000 euro e ha lo scopo di prevenire futuri reati. La banca ha presentato ricorso chiedendo la riduzione o l'annullamento dell'ammenda. L'AEPD ha respinto il ricorso e ha sottolineato l'obbligo di Sicurezza dei dati.
Dopo che la banca aveva pagato senza riconoscere il debito, l'originario Fine ridotto da 500.000 euro a 400.000 euro.
Línea Directa Aseguradora, 300.000 euro (Spagna)
L'autorità spagnola per la protezione dei dati AEPD ha pubblicato una Fine contro la compagnia assicurativa Línea Directa Aseguradora S.A.. La società aveva trattato illegalmente i dati dei clienti attraverso il suo intermediario assicurativo Majorel SP Solutions S.A.. Un dipendente di Majorel ha telefonato alla compagnia assicurativa Consenso il punteggio del cliente con l'autorità del traffico DGT. Per farlo, ha utilizzato Dati personali come il numero della carta d’identità e la data di rilascio della patente di guida. Inoltre, ha fornito un indirizzo e-mail non suo per ricevere le credenziali di accesso necessarie per effettuare la ricerca.
L'azienda ha sostenuto che il cliente aveva implicitamente acconsentito alla richiesta. L'autorità di protezione dei dati non è stata d'accordo e ha riscontrato violazioni dell'art. 6 e dell'art. 28 del GDPR. GDPR è stato arrestato. Ha poi imposto una Fine per un importo di 300.000 euro. Inoltre, Línea Directa è stata obbligata ad adottare misure per conformarsi alle norme sulla protezione dei dati.
Fonte: Provvedimento sanzionatorio dell'AEPD nei confronti di Línea Directa Aseguradora S.A.
Atrium Lex SFC S.L., 100.000 euro (Spagna)
L'autorità spagnola per la protezione dei dati AEPD ha avviato un procedimento contro il fornitore di servizi informatici Atrium Lex SFC S.L. Fine per violazione del dovere di informazione ai sensi dell'art. 13 GDPR e la mancanza di misure di sicurezza ai sensi dell'articolo 32 (1) GDPR è stato imposto. Un investitore aveva denunciato che la società aveva richiesto una copia della sua carta d'identità senza informarlo del trattamento dei dati. Atrium Lex ha sostenuto che ciò era necessario per la verifica dell'identità.
L’AEPD ha constatato che non erano state adottate misure adeguate per la protezione dei dati. In particolare, è stata la Trasmissione L'invio della copia del documento d'identità via e-mail è stato ritenuto non sicuro. L'autorità ha inflitto all'azienda due sanzioni amministrative, ciascuna pari a 50.000 euro. Le sanzioni sono state comminate a causa dell’insufficiente informazione fornita agli interessati e delle misure di sicurezza inadeguate. Inoltre, Atrium Lex è stata obbligata ad adottare misure di protezione dei dati entro sei mesi.
Fonte: Provvedimento sanzionatorio dell'AEPD nei confronti di Atrium Lex
Caja Rural de Extremadura, 88.000 euro (Spagna)
A causa di una violazione dei dati derivante da un cyberattacco al sistema bancario online, l'autorità spagnola per la protezione dei dati AEPD ha emesso una Fine contro la banca cooperativa Caja Rural de Extremadura S.C.C.. La violazione della sicurezza ha consentito l'accesso non autorizzato ai dati personali e finanziari dei clienti. L'AEPD ha riscontrato violazioni dell'art. 5 par. 1 lett. f e dell'art. 32 del Codice Civile. GDPR fissata.
La Caja Rural de Extremadura ha presentato ricorso contro la decisione, sostenendo che il proprio fornitore di servizi informatici, Rural Servicios Informáticos S.L., fosse responsabile delle misure di sicurezza. L’autorità ha respinto tale argomentazione, poiché la banca è responsabile del trattamento dei dati Persone responsabili si applica. Al fine di evitare future violazioni, è stata inflitta una sanzione pecuniaria pari a 110.000 euro. La banca ha quindi presentato ricorso, chiedendo una riduzione o l’annullamento della sanzione. L’autorità garante della protezione dei dati ha respinto il ricorso e ha sottolineato l’obbligo di Sicurezza dei dati.
Dopo che la banca aveva pagato senza riconoscere il debito, l'originario Fine ridotto da 110.000 euro a 88.000 euro.
Fonte: Provvedimento sanzionatorio dell’AEPD nei confronti della Caja Rural de Extremadura S.C.C.
German 
English 
Italian 
French