Agencia Española de Protección de Datos (AEPD) har utfärdat en sanktionsavgift på 1 560 000 euro mot Sprinter Megacentros del Deporte S.L. för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att Sprinter i oktober 2023 utsattes för en allvarlig ransomware-attack. Angriparna tog sig in i Sprinters system och fick tillgång till stora mängder personuppgifter. Kort därefter krypterades flera verksamhetskritiska system. Sprinter bekräftade att angriparna hade stulit personuppgifter och senare publicerat delar av dessa på dark web.
Incidenten drabbade 6 381 913 personer i Spanien, Frankrike, Italien, Nederländerna och Portugal. De personuppgifter som exponerades omfattade bland annat namn, identifikationsnummer, postadresser, telefonnummer, e-postadresser och födelsedatum. För anställda och tidigare anställda berördes dessutom ytterligare kategorier såsom fotografier, bankkontonummer, löneuppgifter samt hälsorelaterad information om funktionsnedsättning.
Sprinter anmälde personuppgiftsincidenten till AEPD och informerade de berörda registrerade. Efter att dessa meddelanden skickats inlämnades flera klagomål till tillsynsmyndigheten.
Under sin utredning konstaterade AEPD att Sprinter hade otillräckliga tekniska och organisatoriska säkerhetsåtgärder på plats före incidenten. Vissa interna varningar hade inte granskats, och flera sårbarheter möjliggjorde att angriparna kunde röra sig obemärkt i systemen före krypteringsattacken. Även om Sprinter vidtog förbättrade säkerhetsåtgärder efter incidenten ansåg AEPD att detta inte ändrade det faktum att nödvändiga åtgärder saknades vid tidpunkten för intrånget.
AEPD fann att Sprinter brutit mot artikel 5.1 (f) GDPR, genom att inte säkerställa lämplig integritet och konfidentialitet vid behandlingen av personuppgifter. Överträdelsens omfattning, känsligheten hos vissa uppgiftskategorier samt de betydande riskerna för de registrerade bedömdes som försvårande omständigheter.
Den ursprungliga sanktionsavgiften fastställdes till 2 600 000 euro, men sänktes till 1 560 000 euro på grund av frivillig betalning och erkännande av ansvar.