L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de la Députation provinciale de Huesca pour des manquements en lien avec une violation de données personnelles et un conflit d'intérêts concernant son délégué à la protection des données. Cette affaire débute par une plainte déposée par deux délégués syndicaux, signalant qu'un dossier numérique du Service de Prévention et d'Extinction des Incendies (SPEIS) était accessible à l'ensemble du personnel de la députation.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : Un dossier numérique du Service de Prévention, Extinction d'Incendies et Sauvetage (SPEIS), qui aurait dû être d'accès restreint, a été rendu accessible à des employés non autorisés. Ce dossier contenait des données personnelles, y compris des catégories particulières de données telles que des informations sur la santé, l'affiliation syndicale, l'orientation sexuelle et les opinions politiques. L'autorité a conclu que la survenance de cette violation de données démontrait que les mesures techniques et organisationnelles mises en œuvre avant l'incident n'étaient pas appropriées pour assurer la sécurité et la confidentialité requises.

* Obligation de garantir l'absence de conflit d'intérêts pour le délégué à la protection des données (article 38 du RGPD) : La députation a désigné son délégué à la protection des données (DPD) également comme responsable du Système interne d'information. L'autorité a estimé que cette double fonction créait un conflit d'intérêts, car le DPD ne peut pas être impliqué dans la détermination des finalités et des moyens du traitement des données. La députation n'a donc pas garanti que les autres missions confiées à son DPD n'engendraient pas de conflit d'intérêts.

En conséquence, l'autorité a prononcé une sanction consistant en une déclaration d'infraction à l'encontre de la Députation provinciale de Huesca.