L'autorité espagnole de protection des données (AEPD) a publié une décision à l'encontre de la Mairie de Madrid pour des manquements liés à la confidentialité, la sécurité du traitement et la protection des données dès la conception. Cette affaire débute par une plainte déposée le 11 juin 2024, signalant la divulgation à des médias de données personnelles et d'informations relatives à des dossiers d'urbanisme concernant le plaignant.

L’enquête menée par l’autorité a permis de constater :

* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : La Mairie a rendu accessibles publiquement, via son application « ***APLICATION.1 », des documents d'urbanisme contenant des données personnelles non anonymisées (nom, DNI, téléphone, etc.). De plus, une violation de la confidentialité a été caractérisée par un accès non autorisé à des dossiers via l'application interne « ***APLICATION.2 », menant à leur divulgation dans la presse.

* Obligation de sécurité du traitement (article 32 du RGPD) : L'accès non autorisé à l'application interne « ***APLICATION.2 » a été rendu possible par des mesures de sécurité insuffisantes. Il a été constaté une gestion défaillante des profils utilisateurs, notamment l'absence de révocation des droits d'accès d'un agent après un changement de fonctions, ainsi qu'un manque de procédures formalisées et de traçabilité pour les créations et suppressions de comptes.

* Obligation de protection des données dès la conception et par défaut (article 25 du RGPD) : L'application publique « ***APLICATION.1 » a été conçue sans tenir compte des principes de protection des données. Elle publiait par défaut des documents contenant de nombreuses données personnelles sans minimisation ni anonymisation, et ce, malgré plusieurs avertissements émis par le bureau de la protection des données de la Mairie qui avaient été ignorés.

En conséquence, l’autorité a ordonné à la Mairie de Madrid, dans un délai de six mois, d'anonymiser l'ensemble des données personnelles présentes dans l'application « ***APLICATION.1 », de documenter ses procédures de gestion des utilisateurs pour garantir leur traçabilité, de mettre en place des révisions périodiques des permissions et de s'assurer que les accès des utilisateurs sont limités aux seuls environnements nécessaires à leurs fonctions.