L'Agence Espagnole de Protection des Données (AEPD) a publié une décision constatant une infraction à l'encontre de la Direction Générale de la Police (DGP) pour des manquements liés à la sécurité d'un traitement de données personnelles.

Cette affaire débute par la notification d'une violation de données par la Direction Générale de la Police elle-même le 31 mars 2023, concernant un incident de sécurité détecté la veille sur sa plateforme `***PLATAFORMA.1`.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a relevé que les mesures de sécurité mises en œuvre par la Direction Générale de la Police étaient insuffisantes pour garantir un niveau de sécurité adapté au risque. Une vulnérabilité sur le serveur de la plateforme `***PLATAFORMA.1` a été exploitée à partir d'août 2022, permettant l'installation de trois consoles web malveillantes ("webshells"). La violation, affectant les données d'identification de 10 personnes, n'a été détectée qu'en mars 2023 suite à la mise en vente d'un accès à distance sur un forum du web profond, ce qui démontre une défaillance dans les capacités de détection et de réponse. L'autorité a conclu que les mesures préventives n'étaient pas adéquates au moment de l'incident, malgré les arguments de la DGP sur sa réaction et les améliorations ultérieures.

En conséquence, l’autorité a déclaré que la Direction Générale de la Police a enfreint le RGPD: aucune sanction financière n'est en effet de mise contre les autorités publiques.
En outre, l’autorité a ordonné à la Direction Générale de la Police d'adopter, dans un délai de six mois, des mesures correctrices visant à garantir la conformité de ses systèmes avec le Cadre National de Sécurité.