L'autorité espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de l'école HOLY MARY CATHOLIC SCHOOL, S.L. (comprenant le prononcé d'une amende de 20 000 €) pour des manquements liés à l'utilisation de la solution « Google Workspace for Education ». Cette affaire débute par une plainte signalant que des élèves du primaire accédaient à des contenus non éducatifs, tels que YouTube et des jeux vidéo, par l'intermédiaire de cette plateforme.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité du traitement (article 6 du RGPD) : L'école justifiait le traitement des données de 531 élèves via la plateforme par l'obligation légale et l'intérêt public. L'autorité a jugé cette base juridique invalide, estimant que le traitement n'était pas strictement nécessaire à la fonction éducative. En effet, les données collectées (y compris des données révélant les convictions religieuses via le nom de domaine de l'école) dépassaient la simple gestion scolaire pour inclure des finalités telles que l'amélioration des services de la plateforme, ce qui n'est pas couvert par les bases juridiques invoquées.

* Obligation de licéité, loyauté et transparence (article 5, paragraphe 1, point a) du RGPD) : L'information fournie aux parents et aux élèves était incomplète et ne mentionnait pas des aspects essentiels du traitement. Notamment, elle omettait l'existence de transferts internationaux de données, la collecte de données d'utilisation de la plateforme au-delà des données d'identification, et les applications concrètes utilisées. L'école n'a pas pu prouver que cette information avait été effectivement communiquée, et son registre des activités de traitement était également lacunaire sur ces points.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'analyse d'impact relative à la protection des données (AIPD) réalisée par l'école a été jugée non conforme. Elle reposait sur la prémisse incorrecte que seuls des données d'identification étaient traitées, ignorant la collecte de données d'utilisation et de données de catégories particulières. L'AIPD n'analysait ni l'impact des transferts internationaux de données, ni la nécessité et la proportionnalité du traitement de manière adéquate.

En conséquence, l’autorité a imposé une amende de 20 000 € à l'école HOLY MARY CATHOLIC SCHOOL, S.L..

En outre, l’autorité a ordonné à l'école de mettre ses opérations de traitement en conformité avec le RGPD, soit en établissant une base juridique valide, soit en cessant le traitement, et de fournir une information complète aux personnes concernées si le traitement se poursuit.