L'autorité espagnole de protection des données a sanctionné une entreprise pour ne pas avoir sécurisé physiquement un tableau d'affichage sur lequel des données personnelles sensibles de salariés avaient été publiées, considérant cette omission comme une violation de l'obligation de mettre en œuvre des mesures techniques et organisationnelles appropriées.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de la société DIMAGAZA, S.L. comprenant le prononcé d'une amende de 15 000 € pour des manquements en lien avec la sécurité d'un tableau d'affichage physique.

L'affaire trouve son origine dans la plainte d'une personne déposée le 13 mai 2023, concernant la publication, sur un tableau d'affichage de l'entreprise, de la liste nominative des salariés concernés par un licenciement collectif, incluant des données telles que le nom, le numéro de document d'identité, le numéro de sécurité sociale ou encore la date de naissance.

Motifs de la décision

• Obligation de sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que le procès-verbal de l'accord de licenciement collectif et son annexe, contenant les données personnelles de nombreux salariés, avaient été affichés sur un simple tableau en liège, sans aucune protection physique comme un caisson vitré ou un système de verrouillage. L'entreprise, en tant que responsable du traitement pour la mise à disposition de ce tableau d'affichage conformément au Statut des Travailleurs espagnol, était tenue de garantir un niveau de sécurité approprié au risque. L'AEPD a estimé que l'absence de mesures techniques et organisationnelles pour empêcher l'accès, la modification ou le retrait non autorisé des documents par toute personne ayant accès aux locaux constituait une négligence grave. Bien que l'entreprise ait soutenu que le tableau se trouvait dans une zone d'accès restreint (enceinte portuaire, deuxième étage), elle n'a pas pu prouver que l'accès était exclusivement réservé aux salariés ni que le tableau lui-même était sécurisé, manquant ainsi à son obligation de protection.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 15 000 € à DIMAGAZA, S.L.

Enseignements

Cette décision rappelle que :

• La sécurité des traitements de données s'applique également aux supports physiques, et un simple tableau d'affichage en liège n'est pas considéré comme une mesure technique appropriée pour exposer des données personnelles, surtout si elles sont sensibles.
• L'entreprise qui met un tableau d'affichage à la disposition des représentants du personnel est considérée comme responsable du traitement pour les moyens fournis et doit en garantir la sécurité, indépendamment de la responsabilité des personnes qui y publient du contenu.
• La localisation d'un support de traitement dans une zone d'accès globalement restreint est une mesure pertinente mais insuffisante si le support lui-même n'est pas protégé contre les accès indus des personnes autorisées à pénétrer dans cette zone.
• L'erreur humaine d'un salarié ou d'un représentant du personnel publiant des données ne saurait exonérer le responsable du traitement de sa propre obligation de mettre en place des mesures préventives pour sécuriser les supports de traitement.
• Il incombe au responsable du traitement de documenter et de pouvoir démontrer la mise en place des mesures de sécurité ; l'impossibilité de fournir des preuves, même due à la fermeture des locaux, peut affaiblir sa défense.