L'autorité espagnole de protection des données a déclaré des manquements de la part d'une administration publique madrilène, agissant en qualité de responsable du traitement, pour une violation de données survenue sur la plateforme d'un de ses sous-traitants lors de l'inscription à un programme de logement social. Les manquements retenus portent sur l'absence de mesures de sécurité appropriées et sur le défaut d'encadrement contractuel de la relation de sous-traitance.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a publié une décision déclarant des manquements de la part du Ministère du logement, des transports et des infrastructures de la Communauté de Madrid (CVTI) en lien avec une violation de données survenue lors de l'inscription au programme de logement social "Plan Vive".

L'affaire trouve son origine dans 31 plaintes déposées entre le 19 octobre 2023 et le 30 janvier 2024. Les plaignants signalaient qu'après avoir soumis leur candidature en ligne, l'écran de confirmation affichait les données personnelles complètes d'autres demandeurs, y compris des données d'identification, économiques et des données de catégories spéciales (relatives au handicap ou au statut de victime de violence de genre).

Motifs de la décision

L'autorité a d'abord qualifié le Ministère (CVTI) de responsable du traitement et la société concessionnaire (***EMPRESA.2**) de sous-traitant. Elle a estimé que le cadre légal du programme (Decreto 84/2020) et les cahiers des charges de la concession conféraient au CVTI la détermination des finalités et des moyens essentiels du traitement, ainsi qu'un pouvoir de supervision et de contrôle sur le concessionnaire. L'autorité a ensuite retenu deux manquements à l'encontre du CVTI :

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que le responsable du traitement n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. L'analyse d'impact relative à la protection des données (AIPD), réalisée avant le lancement, avait pourtant identifié des risques très élevés pour la confidentialité (R29, R30, R33) en cas de défaillance technique ou de mauvaise configuration. Or, il n'a pas été démontré que des mesures spécifiques ou des tests préalables, notamment des tests de charge, avaient été effectués pour atténuer ces risques avant l'ouverture du formulaire, qui a été saturé dès son lancement. L'absence de contrôles de session, d'authentification robuste ou d'isolation des données entre les demandes a été jugée comme une défaillance caractérisée.
• Obligation d'encadrer la relation avec un sous-traitant (article 28 du RGPD) : L'enquête a révélé l'absence de contrat ou de tout autre acte juridique liant le responsable du traitement (CVTI) et son sous-traitant (***EMPRESA.2**) conformément aux exigences du RGPD. Les documents de la concession domaniale ne contenaient pas les clauses obligatoires prévues à l'article 28, paragraphe 3, du RGPD, telles que les instructions documentées du responsable du traitement, les obligations de confidentialité, les mesures de sécurité à mettre en œuvre, les conditions de recours à un sous-traitant ultérieur ou le sort des données en fin de prestation.

Décision de l'autorité

En conséquence, l'autorité a déclaré que le Ministère du logement, des transports et des infrastructures de la Communauté de Madrid a enfreint les articles 32 et 28 du RGPD. Conformément à la législation espagnole applicable aux administrations publiques (article 77 de la LOPDGDD), aucune amende administrative n'a été prononcée.

En outre, l'autorité a ordonné la notification de la résolution à l'entité concernée, sa communication au Défenseur du peuple et sa publication au journal officiel.

Enseignements

Cette décision rappelle que :

• L'entité publique qui définit les finalités et les moyens essentiels d'un traitement mis en œuvre dans le cadre d'un service public, même délégué par voie de concession, conserve la qualité de responsable du traitement et ne peut se décharger de sa responsabilité sur le concessionnaire.
• L'identification de risques élevés dans une analyse d'impact impose au responsable du traitement de mettre en œuvre et de documenter des mesures de sécurité concrètes et testées avant le début du traitement, en particulier pour les services en ligne destinés à un large public.
• Les documents régissant une concession administrative ou domaniale ne sauraient remplacer le contrat de sous-traitance exigé par l'article 28 du RGPD, qui doit être formalisé et contenir l'ensemble des clauses impératives pour être valide.