L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de la Direction Générale de la Coordination et des Études (DGCE) pour des manquements en lien avec la sécurité d'un traitement de données personnelles.

Cette affaire débute par la notification d'une violation de données par la DGCE elle-même les 27 mai et 27 juin 2022, suite au vol d'un ordinateur portable et d'une clé USB contenant des informations issues d'enquêtes policières destinées à des études de prévention et de détection des délits.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'enquête a révélé que l'ordinateur portable volé, utilisé par un chercheur collaborateur, ne disposait d'aucune mesure de sécurité de base telle qu'une clé d'accès, un chiffrement du disque ou une protection par mot de passe au démarrage. Cet équipement, dont l'assignation n'était pas formellement tracée et dont l'utilisation hors des locaux n'était pas autorisée, contenait des données de nature très sensible, incluant des rapports de police, des informations sur des condamnations pénales et des données de santé. L'autorité a conclu que ces défaillances constituaient une absence de mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque élevé présenté par le traitement.

En conséquence, l'autorité a prononcé une sanction consistant en une déclaration d'infraction à l'encontre de la Direction Générale de la Coordination et des Études.