L'autorité espagnole de protection des données (AEPD) a déclaré une violation du RGPD par une municipalité sans prononcer d'amende, appliquant le régime spécifique prévu par le droit national pour les entités publiques.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision déclarant une infraction à l'encontre de la municipalité de Canals pour des manquements en lien avec la sécurité des données personnelles.

L'affaire trouve son origine dans la publication sur les réseaux sociaux d'une citoyenne dénonçant la découverte, le 1er mai 2024, de documents contenant des données personnelles abandonnés sur la voie publique.

Motifs de la décision

• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté que des copies d'examen issues d'une formation organisée par la municipalité avaient été retrouvées dans la rue. Ces documents, qui contenaient le nom, les prénoms et le numéro de carte d'identité nationale (DNI) de trois élèves, n'avaient pas été détruits et étaient accessibles à des tiers, comme en témoigne leur diffusion sur les réseaux sociaux. La municipalité a reconnu sa négligence, expliquant qu'une erreur humaine avait conduit à ce que les documents destinés à la destruction se retrouvent dans une poubelle publique. L'autorité a conclu que l'absence de mesures organisationnelles adéquates pour garantir la destruction sécurisée des documents caractérisait un manquement à l'obligation d'assurer la confidentialité des données.

Décision de l'autorité

En conséquence, l'autorité a déclaré que la municipalité de Canals a enfreint l'article 5, paragraphe 1, point f) du RGPD. Conformément à l'article 77 de la loi organique espagnole sur la protection des données, qui prévoit un régime spécifique pour les entités publiques, aucune amende n'a été prononcée, la déclaration d'infraction étant la mesure retenue.

En outre, l'autorité a ordonné que sa décision soit communiquée au Défenseur du peuple et qu'elle soit rendue publique après notification aux parties.

Enseignements

Cette décision rappelle que :

• La sécurité des données personnelles s'applique également aux documents physiques, dont la destruction doit suivre une procédure formalisée et contrôlée pour éviter toute divulgation accidentelle.
• Une simple négligence ou une erreur humaine dans la gestion des documents à détruire suffit à caractériser un manquement à l'obligation de sécurité, engageant la responsabilité du responsable du traitement.
• L'abandon de documents contenant des données personnelles sur la voie publique constitue une violation manifeste du principe d'intégrité et de confidentialité, quel que soit le nombre de personnes concernées.
• Le régime de sanction applicable aux entités publiques en Espagne conduit généralement à une simple déclaration d'infraction sans amende pécuniaire.