L'autorité espagnole de protection des données (AEPD) a déclaré une violation de l'obligation de sécurité à l'encontre du gouvernement de Cantabrie suite à une cyberattaque ayant exposé les données de 150 000 élèves. En application du droit national espagnol spécifique aux organismes publics, aucune amende n'a été prononcée, mais des mesures correctrices contraignantes ont été imposées.

Faits et contexte

L'Agence espagnole de protection des données (AEPD) a publié une décision déclarant une infraction à l'encontre du Gouvernement de Cantabrie pour des manquements liés à la sécurité d'une application de gestion scolaire.

La procédure a été initiée par l'AEPD elle-même suite à une violation de données massive sur l'application "Yedra", utilisée pour la gestion des élèves des établissements scolaires non universitaires de Cantabrie et comptant environ 250 000 utilisateurs.

Motifs de la décision

• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que les mesures techniques et organisationnelles mises en œuvre par le Gouvernement de Cantabrie étaient insuffisantes pour garantir un niveau de sécurité adapté au risque. La réussite d'une cyberattaque entre le 1er et le 8 avril 2024, ayant permis l'exfiltration de 150 000 enregistrements, a démontré l'existence de vulnérabilités et l'inadéquation des protections du système. Les données compromises comprenaient des informations sensibles (nom, prénom, numéro de carte d'identité, coordonnées, adresse, données de filiation, photographies) concernant une population potentiellement vulnérable, des élèves mineurs.

Décision de l'autorité

En conséquence, l'autorité a déclaré que le Gouvernement de Cantabrie a commis une infraction à l'article 32 du RGPD.

En outre, l'autorité a ordonné au Gouvernement de Cantabrie de mettre en œuvre, dans un délai de trois mois, des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données. L'organisme doit également justifier de ces mesures et informer l'autorité de l'état de développement et de déploiement de la nouvelle application "ALTAMIRA" et de ses dispositifs de sécurité.

Enseignements

Cette décision rappelle que :

• Le régime de sanction spécifique applicable aux organismes publics dans certains États membres (ici, l'absence d'amende au profit de mesures correctrices) ne les exonère pas du respect de leurs obligations de fond au titre du RGPD, notamment en matière de sécurité.
• La matérialisation d'une violation de données par cyberattaque constitue un élément de preuve majeur de l'insuffisance des mesures de sécurité techniques et organisationnelles préalablement mises en place par le responsable du traitement.
• L'évaluation du niveau de sécurité requis au titre de l'article 32 du RGPD doit impérativement prendre en compte la nature des données (photographies, numéros d'identité) et la vulnérabilité des personnes concernées (élèves, potentiellement mineurs).