L'autorité irlandaise de protection des données (DPC) a publié une décision de sanction à l'encontre de l'Université de Limerick, comprenant le prononcé d'une amende de 98 000 €, pour des manquements en lien avec la sécurité des données et la gestion des violations de données. Cette affaire débute par une enquête de sa propre initiative, faisant suite à une série de violations de données à caractère personnel survenues entre novembre 2018 et janvier 2020.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité des données (article 5, paragraphe 1, point f) et article 32, paragraphe 1, du RGPD) : L'université n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité des données à caractère personnel qu'elle traitait.

* Obligation de tenir un registre des activités de traitement (article 30, paragraphe 1, du RGPD) : Le registre initial des activités de traitement de l'université n'était pas entièrement conforme aux exigences du RGPD.

* Obligation de notification des violations de données à l'autorité de contrôle (article 33, paragraphe 1, du RGPD) : Trois notifications de violations de données n'ont pas été transmises à l'autorité sans retard injustifié.

* Obligation de communication d'une violation de données aux personnes concernées (article 34, paragraphe 1, du RGPD) : Dans trois cas, l'université n'a pas informé sans retard injustifié les personnes concernées d'une violation présentant un risque élevé.

En conséquence, l’autorité a imposé une amende de 98 000 € à l'Université de Limerick, ainsi qu'une réprimande. Le montant final de la sanction tient compte des mesures d'atténuation, l'université ayant accepté la plupart des conclusions, reconnu sa responsabilité et pris des mesures proactives pour améliorer ses systèmes, sa formation et ses politiques.