Irlande — Permanent TSB sanctionnée: art. 32/33 RGPD au call center

Résumé — Le 8 mai 2026, l’autorité irlandaise (DPC) a sanctionné Permanent TSB (277 500 €) après des fraudes par ingénierie sociale au centre d’appels et un retard de notification. Message clé pour le Luxembourg: l’article 32 (sécurité) et l’article 33 (72 h) s’appliquent pleinement aux processus humains et à l’effectivité des contrôles. Source officielle: communiqué du DPC du 08/05/2026.

L’affaire

En 2022, des fraudeurs, munis d’informations partielles sur des clients, ont appelé le « Open24 Contact Centre » de Permanent TSB (PTSB), se sont fait passer pour eux et ont obtenu des modifications de comptes. Le DPC relève que « pour trois incidents, les protocoles de sécurité appropriés n’ont pas été suivis », exposant des clients à des risques de fraude et à des pertes financières.

Sanctions: un avertissement, 250 000 € pour les manquements aux articles 5(1)(f) (intégrité/confidentialité) et 32(1) (sécurité du traitement), et 27 500 € pour l’article 33(1) (notification sous 72 h). La décision intégrale sera publiée « en temps utile ». Source: DPC.

Le raisonnement juridique

• Base RGPD. L’article 5(1)(f) impose l’intégrité et la confidentialité; l’article 32(1) exige des « mesures techniques et organisationnelles appropriées » proportionnées au risque; l’article 33(1) impose de notifier « sans retard indu et, si possible, 72 heures au plus tard » après la connaissance d’une violation. Texte consolidé: Règlement (UE) 2016/679. Pour un rappel structuré des obligations, voir notre page RGPD.
• Interprétation du DPC. L’échec des protocoles du call center constitue un manquement à l’article 32(1): en banque, des KBA faciles à deviner (date de naissance, adresse, transactions approximatives) ne suffisent pas si contournables via des données déjà en circulation. Des contrôles complémentaires (authentification forte, callbacks vérifiés, gels de compte, journalisation active) sont attendus. Sur l’article 33(1), le DPC sanctionne un dépassement des 72 h. Source: PTSB.
• Alignement européen. Les lignes directrices EDPB 01/2021 listent des scénarios d’ingénierie sociale et de credential stuffing requérant des mesures renforcées et, souvent, une notification rapide (cas 07 et 17). Référence: EDPB Guidelines 01/2021.
• Position luxembourgeoise. La CNPD rappelle l’obligation de notifier dans les 72 h s’il existe un risque pour les droits et libertés; le sous-traitant doit alerter le responsable « sans délai ». Référence: CNPD — Violations de données.

Ce que ça change concrètement au Luxembourg (mai 2026)

Centres de contact et KYC/retail. Banques/PSF, assurances, e‑commerce, utilities, santé — toute organisation dont le call center peut modifier des coordonnées, moyens de paiement ou consentements — est exposée au même risque. Les « procédures » ne suffisent pas si elles sont faillibles ou mal appliquées: l’article 32 vise un résultat (« niveau de sécurité approprié ») au regard du risque, pas la simple existence d’un script.

Pour un cadrage local des exigences et de la conformité CNPD, consultez notre page RGPD Luxembourg.

Mesures « appropriées » attendues pour les interactions téléphoniques

• MFA hors bande pour opérations sensibles (OTP via app; rappel au numéro « on file »; challenge via espace client) plutôt que seules questions KBA.
• Step‑up dès qu’un indicateur de risque est détecté (indices de fraude, incohérence vocale, signaux techniques liés au compte).
• Séparation des pouvoirs: l’agent qui vérifie n’est pas celui qui valide le changement critique; traçabilité par logs horodatés.
• Playbooks d’incident dédiés à l’ingénierie sociale, avec gel préventif, alertes clients et tokens de réinitialisation.
• Formation continue et évaluation qualité des agents, supervision en temps réel et « four‑eyes principle » sur les changements sensibles. Renforcez vos équipes via notre offre de sensibilisation cyber.

Ces mesures s’appuient sur l’article 32 et les exemples EDPB relatifs aux atteintes à la confidentialité/intégrité, et doivent être documentées dans votre registre sécurité et vos AIPD quand le risque est élevé. Voir EDPB 01/2021.

Notification « 72 h » et communication aux personnes

Dès la prise de connaissance d’une violation probable (ex.: un fraudeur a obtenu des informations additionnelles ou modifié des coordonnées), enclenchez la qualification de risque et préparez la notification CNPD si le risque n’est pas « improbable ». Si le risque est « élevé », communiquez aussi aux personnes (art. 34). Modalités CNPD: page dédiée. Le texte consolidé des articles 32 et 33 est disponible sur EUR‑Lex.

Barème des amendes

Le cas PTSB illustre l’application combinée de l’article 83 et de la méthodologie EDPB 04/2022 pour calibrer des montants proportionnés (gravité, durée, négligence, coopération, mesures correctives). Référence: EDPB Guidelines 04/2022.

Pièges fréquents observés en audit

1. Se reposer sur des KBA statiques. Données souvent publiques ou issues de fuites: insuffisant pour des opérations à risque (modification d’IBAN, d’adresse, de canal d’authentification). Base: art. 32; DPC PTSB (source).
2. Scripts sans contrôle d’exécution. Des SOP impeccables mais non respectées = manquement à l’article 32: l’effectivité (formation, supervision, contrôle qualité, logs) est déterminante. DPC PTSB: « protocoles non suivis » (source).
3. Confusion sur le point de départ des 72 h. Le délai court dès la « prise de connaissance » raisonnable, pas à la fin de l’enquête. La documentation peut être complétée ensuite (art. 33(4)). Réf.: CNPD et RGPD (CNPD).
4. Sous‑estimer l’« effet domino ». Un changement frauduleux de téléphone/e‑mail permet de détourner des OTP et d’escalader. L’EDPB fournit des cas déclenchant notification et communication (EDPB 01/2021).
5. Oublier la mise à l’échelle des contrôles. Ce qui est « approprié » varie selon le secteur: pour la finance, MFA vocale/app et double‑contrôles deviennent la norme implicite. Base: art. 32; DPC PTSB (texte RGPD).

Sources officielles

• Data Protection Commission (Irlande) — « Data Protection Commission Publishes Final Decision Following Inquiry into Permanent TSB », 08/05/2026. Lien.
• Règlement (UE) 2016/679 (RGPD) — Articles 5(1)(f), 32, 33 (EUR‑Lex consolidé). Lien.
• CNPD (Luxembourg) — « Violations de données (RGPD): notifier sous 72 h », page professionnelle. Lien.
• EDPB — « Guidelines 01/2021 on Examples regarding Personal Data Breach Notification » (v2.0, 14/12/2021). Lien PDF.
• EDPB — « Guidelines 04/2022 on the calculation of administrative fines under the GDPR ». Lien.

En synthèse: en 2026, l’« état de l’art » RGPD au téléphone exige des contrôles réellement résistants à l’ingénierie sociale et une mécanique de notification documentée pour tenir les 72 heures. Dirigeants luxembourgeois: article 32 = preuves d’effectivité; article 33 = réflexe opérationnel.

Besoin d’un échange rapide sur votre dispositif et vos scripts call center? Contactez-nous.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.