L'autorité espagnole de protection des données a aujourd'hui publié une décision de sanction à l'encontre de l'Institut National de Cybersécurité d'Espagne (INCIBE), comprenant le prononcé d'une amende de 2 000 €, pour des manquements liés à la protection des données dès la conception et par défaut.
Cette affaire débute par une plainte déposée le 12 avril 2023, signalant que la veille, lors du lancement d'un cours organisé par l'INCIBE, les données personnelles des participants (nom, prénom, adresse de courriel, ville et pays) avaient été rendues visibles aux autres inscrits.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la protection des données dès la conception et par défaut (article 25 du RGPD) : Pour un cours en ligne comptant environ 9 000 inscrits, l'INCIBE a utilisé une plateforme fournie par un prestataire. Une configuration par défaut de l'outil Moodle rendait visibles les données personnelles des participants (nom, prénom, courriel, ville et pays) aux autres inscrits via les forums. L'autorité a estimé que l'INCIBE, en tant que responsable du traitement, aurait dû évaluer et modifier cette configuration avant le lancement du cours, car cette visibilité n'était pas nécessaire à la finalité du traitement. Le fait de ne pas avoir mis en place des mesures garantissant que, par défaut, les données ne soient pas accessibles sans intervention de la personne concernée constitue un manquement, qui a entraîné la consultation des données de 399 utilisateurs par d'autres participants.

En conséquence, l’autorité a imposé une amende de 2 000 € à l'INCIBE.