L'autorité espagnole de protection des données a déclaré une violation du principe de confidentialité à l'encontre d'une municipalité pour avoir affiché un document administratif contenant des données personnelles sur un poteau, le rendant ainsi accessible au public. En application du droit national, aucune amende n'a été prononcée, mais des mesures correctrices ont été ordonnées.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision déclarant une infraction à l'encontre de la municipalité de Coles pour un manquement au principe de confidentialité, suite à la divulgation de données personnelles sur la voie publique.

L'affaire trouve son origine dans une plainte déposée le 26 octobre 2023, dénonçant la publication d'un dossier administratif sur un poteau électrique à proximité d'un chantier.

Motifs de la décision

Après un premier classement de la plainte puis sa réouverture sur recours, l'autorité a retenu le manquement suivant :

• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté que la municipalité avait placé un document administratif, contenant des données personnelles et les détails d'une sanction, sur un poteau situé sur la voie publique. En rendant ce document accessible à des tiers non autorisés, la municipalité n'a pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir une sécurité adéquate des données. L'autorité a conclu que cette exposition publique constituait une violation du principe de confidentialité, qui impose de traiter les données de manière à les protéger contre toute divulgation non autorisée.

Décision de l'autorité

En conséquence, l'autorité a déclaré que la municipalité de Coles a commis une infraction à l'article 5, paragraphe 1, point f) du RGPD. Conformément à l'article 77 de la loi organique espagnole 3/2018, qui prévoit un régime spécifique pour les administrations publiques, aucune amende administrative n'a été imposée.

En outre, l'autorité a ordonné à la municipalité de Coles de mettre en œuvre des mesures garantissant la confidentialité des données et de prouver leur application effective dans un délai de trois mois.

Enseignements

Cette décision rappelle que :

• La protection des données personnelles s'étend aux supports physiques et impose de prévenir toute exposition de documents papier dans des lieux publics.
• Le fait que certaines données (comme le nom d'un administrateur) soient accessibles dans un registre public ne justifie pas leur divulgation dans un contexte différent, tel que celui d'une sanction administrative.
• La suppression rapide d'une exposition non autorisée de données ne suffit pas à annuler le manquement au principe de confidentialité, même si elle peut en atténuer la gravité.
• Les régimes de sanction applicables aux organismes publics peuvent différer de ceux du secteur privé, comme l'illustre le droit espagnol qui exclut les amendes pécuniaires au profit de déclarations d'infraction et de mesures correctrices.