Après une première sanction la semaine dernière contre une autre Mairie pour les des faits similaires, l'agence espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de la Mairie de Burgos pour des manquements en lien avec la sécurité d'un logiciel de billetterie et l'encadrement contractuel de son sous-traitant.
Cette affaire débute par une plainte déposée par un chercheur en sécurité, signalant que le logiciel de vente de billets utilisé par la municipalité présentait des vulnérabilités permettant d'accéder aux données des acheteurs sans authentification.

L’enquête menée par l’autorité a permis de constater :

* Obligation d'intégrité et de confidentialité (article 5 du RGPD) : Le système de billetterie souffrait d'une faille de sécurité permettant, via la modification de paramètres dans l'URL, d'accéder aux données personnelles de tiers (nom, courriel, téléphone, carte d'identité et six chiffres de la carte bancaire). L'autorité a considéré que la municipalité, en sa qualité de responsable de traitement, n'avait pas garanti la confidentialité des données, la responsabilité de cette défaillance lui incombant même si la gestion technique était assurée par un prestataire.

* Obligation d'encadrement de la sous-traitance (article 28 du RGPD) : Bien qu'un contrat de services administratifs ait été signé avec le fournisseur du logiciel, les parties n'ont pas formalisé l'accord spécifique relatif au traitement des données personnelles. Cette absence d'acte juridique contraignant constitue une violation des exigences réglementaires, d'autant que le cahier des charges de l'appel d'offres prévoyait explicitement la signature d'un tel document.

En conséquence, la structure s'est vue sanctionner pour les infractions constatées.
En outre, l’autorité a ordonné à la municipalité de formaliser le contrat de sous-traitance requis et d'adopter les mesures techniques et organisationnelles nécessaires pour garantir la confidentialité des données dans un délai de trois mois.