L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de l'Institut national de la sécurité sociale (INSS) pour des manquements en lien avec la gestion des données personnelles du Revenu minimum vital (IMV). Cette affaire débute par une enquête d'office de l'autorité concernant le traitement de données personnelles réalisé dans le cadre de la gestion de cette prestation sociale, notamment via des services en nuage.

L’enquête menée par l’autorité a permis de constater :

* Obligation de formaliser la relation avec le sous-traitant (article 28, paragraphe 3 du RGPD) : L'INSS, en tant que responsable du traitement, n'a pas formalisé sa relation avec la Direction de l'informatique de la sécurité sociale (GISS), agissant comme sous-traitant pour la gestion du IMV. Aucun contrat ou autre acte juridique écrit, contenant les mentions obligatoires, ne liait les deux entités pour encadrer ce traitement de données personnelles, y compris des données de catégories particulières. L'autorité a estimé que les dispositions réglementaires existantes invoquées par l'INSS n'étaient pas suffisantes pour satisfaire aux exigences de cet article.

* Obligation d'information des personnes concernées (article 13 du RGPD) : L'information sur le traitement des données personnelles fournie aux utilisateurs du simulateur du IMV, accessible sans identification sur le site de la sécurité sociale, était incomplète. Les informations requises n'ont été ajoutées qu'après le début de la procédure de sanction.

* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'INSS n'a pas vérifié que le fournisseur de services en nuage avait mis en œuvre les mesures de sécurité techniques et organisationnelles appropriées, telles que définies dans l'analyse d'impact et l'analyse de risques. L'institut s'était contenté des clauses prévues dans le cahier des charges du marché public et n'a pu démontrer l'effectivité de ces mesures qu'au cours de la procédure, par la production d'un rapport daté du 24 novembre 2025.

En conséquence, l’autorité a déclaré que l'INSS a enfreint les articles 28, paragraphe 3, 13 et 32 du RGPD.

En outre, l’autorité a ordonné à l'INSS de lui prouver, dans un délai d'un mois, la formalisation d'un contrat de sous-traitance avec la GISS conforme au RGPD ainsi que la mise en œuvre effective des mesures de sécurité requises dans le document d'analyse de sécurité du 19 mai 2021.