La SBM Bank Kenya sanctionnée pour envoi de spams 

L’Office of the Data Protection Commissioner (ODPC) a infligé, la semaine dernière, une amende de 450 000 KSh (environ Rs 160 262) à la SBM Bank Kenya, filiale kenyane de la State Bank of Mauritius (SBM) Holdings, pour violation de la loi sur la protection des données. La banque est accusée d’avoir envoyé, pendant 10 mois, des messages électroniques indésirables à une personne qui n’était pas cliente.

C’est Kevin K. Rono, un particulier sans lien contractuel avec la SBM Bank, qui a déposé plainte après avoir reçu pas moins de 327 courriels de la part de la banque entre mai 2023 et mars 2024. Ces courriels incluaient des alertes liées à des codes PIN, des mots de passe à usage unique (OTP), des notifications de connexion, des alertes de transactions vers des comptes Mpesa, ainsi que des promotions et des offres commerciales.

Selon le plaignant, ses tentatives pour mettre fin à ces envois répétitifs sont restées vaines, malgré plusieurs appels au service client de l’institution bancaire. L’intrusion s’est poursuivie, sans réponse concrète de la part de SBM Bank, incitant ainsi Kevin K. Rono à se tourner vers l’autorité de protection des données du Kenya.

Dans sa défense, la SBM Bank a reconnu que l’adresse e-mail de Kevin Rono avait été par erreur associée à l’un de leurs clients portant un nom similaire. Cette confusion aurait eu lieu lors de l’ouverture d’un compte bancaire le 12 avril 2023, quelques semaines avant que les premiers courriels ne commencent à être envoyés.

La banque assure que l’adresse e-mail a été enregistrée par inadvertance lors du processus d’intégration de ce client, sans qu’il n’y ait eu intention de violer les règles en matière de protection de données. 

Dans cette affaire, l’ODPC a estimé que la SBM Bank a failli à ses obligations, notamment en ne prenant pas les mesures adéquates pour stopper l’envoi des messages après les plaintes de Kevin Rono.