L'Agence espagnole de protection des données (AEPD) a publié une décision ordonnant des mesures correctrices à l'encontre de la Communauté autonome de Castille-La Manche pour des manquements liés à l'inclusion du numéro de document national d'identité (DNI) dans les signatures électroniques de ses fonctionnaires. Cette affaire débute par une enquête d'office de l'autorité, après avoir eu connaissance que le programme de signature électronique utilisé par les fonctionnaires incluait des données personnelles, notamment le nom, le prénom et le numéro de DNI, rendant ces dernières facilement accessibles au destinataire du document.

L’enquête menée par l’autorité a permis de constater :

* Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : Bien que les fonctionnaires puissent choisir de ne pas afficher leur numéro de document national d'identité (DNI) sur la signature visible, ce dernier reste systématiquement accessible dans les propriétés du certificat numérique, consultables via n'importe quel lecteur de PDF. L'autorité a considéré que l'inclusion de cette donnée, qui n'est pas nécessaire à l'identification du fonctionnaire dans le cadre de ses fonctions, était excessive, se référant notamment à un de ses rapports antérieurs préconisant l'usage d'autres identifiants ou de pseudonymes.

* Obligation de protection des données dès la conception et par défaut (article 25 du RGPD) : La Communauté autonome n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir, dès la conception du système de signature électronique et par défaut, le respect des principes de protection des données. Le fait que le DNI soit inclus par défaut dans les propriétés du certificat, même si sa visibilité est optionnelle, démontre ce manquement, la structure n'ayant pas intégré les garanties nécessaires pour limiter le traitement des données au strict nécessaire.

En conséquence, l'autorité a reconnu la responsabilité de la structure dans les manquements constatés.

En outre, l’autorité a ordonné à la Communauté autonome de Castille-La Manche d'adopter, dans un délai de six mois, les mesures nécessaires pour supprimer le DNI des propriétés des certificats électroniques visibles lors de la vérification des documents signés.