L'Agence Espagnole de Protection des Données a publié une décision à l'encontre de la Direction Générale de la Garde Civile pour des manquements en lien avec la sécurité des données personnelles dans le cadre de communications électroniques.
Cette affaire débute par une plainte déposée le 5 juin 2024, signalant la diffusion non consentie d'informations personnelles relatives à une procédure disciplinaire par le biais de courriels officiels non sécurisés, envoyés à des comptes de messagerie génériques.

L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : La Direction Générale de la Garde Civile a transmis des courriels contenant des données personnelles (identité, numéro de document national d'identité, informations sur une procédure disciplinaire) à des comptes de messagerie fonctionnels sans appliquer de mesures de chiffrement. Bien que l'accès à ces comptes soit restreint à un nombre limité de personnes, l'autorité a estimé que l'absence de chiffrement pour ces communications, en contradiction avec les recommandations internes de son propre délégué à la protection des données (Circulaires DPD Nº 1 année 2020 et Nº 3 année 2022), constituait une mesure de sécurité insuffisante pour garantir la confidentialité et l'intégrité des données traitées.

En conséquence, l’autorité a déclaré l'infraction et a ordonné à la Direction Générale de la Garde Civile de prouver, dans un délai de six mois, la mise en place effective de mesures techniques et organisationnelles adéquates pour garantir la sécurité des données dans le cadre de ses procédures administratives.