L'autorité espagnole sanctionne la commune de Riba-Roja pour manquements au RGPD liés à une faille de sécurité dans un logiciel de billetterie
L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de la Mairie de Riba-Roja de Túria pour des manquements en lien avec la sécurité des données personnelles traitées via un logiciel de billetterie et l'absence de contrat de sous-traitance.
Cette affaire débute par une plainte déposée le 13 novembre 2022, signalant des vulnérabilités dans le logiciel de billetterie JANTO, appartenant à la société IMPRONTA SOLUCIONES S.L, qui permettaient l'exposition de données personnelles sans authentification.
L’enquête menée par l’autorité a permis de constater :
* Obligation de formaliser la relation avec un sous-traitant (article 28 du RGPD) : La mairie n'a pas formalisé de contrat de sous-traitance conforme aux exigences de l'article 28, paragraphe 3 du RGPD avec la société IMPRONTA SOLUCIONES S.L., qui gérait le service de vente de billets. L'autorité a considéré que la mairie agissait en tant que responsable du traitement en déterminant les finalités de la vente de billets municipaux, et que le prestataire était un sous-traitant, rendant un tel contrat obligatoire malgré une clause contractuelle initiale erronée qui excluait le traitement de données.
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : Une vulnérabilité dans le logiciel de billetterie a permis un accès non autorisé aux données personnelles des acheteurs, incluant leur nom complet, courriel, téléphone, numéro de document d'identité et les six premiers chiffres de leur carte bancaire. L'autorité a estimé que la mairie, en tant que responsable du traitement, n'avait pas garanti une sécurité appropriée des données et a donc manqué à son obligation de protéger les données contre un traitement non autorisé, indépendamment du fait que la faille technique provenait du logiciel de son sous-traitant.
En conséquence, l'autorité a sanctionné la Mairie de Riba-Roja de Túria pour ces manquements en "déclarant l'infraction": les entités publiques espagnoles ne peuvent en effet pas être sanctionnées financièrement. En outre, la Mairie devra améliorer ses pratiques.
Cette affaire débute par une plainte déposée le 13 novembre 2022, signalant des vulnérabilités dans le logiciel de billetterie JANTO, appartenant à la société IMPRONTA SOLUCIONES S.L, qui permettaient l'exposition de données personnelles sans authentification.
L’enquête menée par l’autorité a permis de constater :
* Obligation de formaliser la relation avec un sous-traitant (article 28 du RGPD) : La mairie n'a pas formalisé de contrat de sous-traitance conforme aux exigences de l'article 28, paragraphe 3 du RGPD avec la société IMPRONTA SOLUCIONES S.L., qui gérait le service de vente de billets. L'autorité a considéré que la mairie agissait en tant que responsable du traitement en déterminant les finalités de la vente de billets municipaux, et que le prestataire était un sous-traitant, rendant un tel contrat obligatoire malgré une clause contractuelle initiale erronée qui excluait le traitement de données.
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : Une vulnérabilité dans le logiciel de billetterie a permis un accès non autorisé aux données personnelles des acheteurs, incluant leur nom complet, courriel, téléphone, numéro de document d'identité et les six premiers chiffres de leur carte bancaire. L'autorité a estimé que la mairie, en tant que responsable du traitement, n'avait pas garanti une sécurité appropriée des données et a donc manqué à son obligation de protéger les données contre un traitement non autorisé, indépendamment du fait que la faille technique provenait du logiciel de son sous-traitant.
En conséquence, l'autorité a sanctionné la Mairie de Riba-Roja de Túria pour ces manquements en "déclarant l'infraction": les entités publiques espagnoles ne peuvent en effet pas être sanctionnées financièrement. En outre, la Mairie devra améliorer ses pratiques.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire