L'Agence espagnole de protection des données (AEPD) a publié une décision déclarant une infraction à l'encontre la Mairie de Madrid pour des manquements en lien avec la gestion de deux violations de données. Cette affaire débute par la notification de ces deux violations par l'entité elle-même, causées par un incident informatique et une erreur humaine.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté que le traitement des données n'assurait pas une sécurité appropriée, entraînant un accès non autorisé à des données à caractère personnel. La Mairie a elle-même reconnu ces accès dans ses notifications de violation, ce qui constitue une violation du principe de confidentialité.

* Obligation de sécurité du traitement (article 32, paragraphe 1 du RGPD) : Les mesures techniques et organisationnelles mises en œuvre ont été jugées insuffisantes pour garantir un niveau de sécurité adapté au risque. La survenance des violations a démontré cette inadéquation, et la documentation fournie par l'entité, bien que mentionnant des analyses de risques et des audits, n'a pas permis de prouver que les mesures nécessaires avaient été effectivement adoptées pour prévenir de tels incidents.

* Obligation de notification des violations de données à l'autorité de contrôle (article 33, paragraphe 1 du RGPD) : Les deux violations de sécurité n'ont pas été notifiées à l'AEPD dans le délai de 72 heures suivant leur découverte. La première violation, survenue le 15/03/2022, a été notifiée le 23/03/2022, et la seconde a également été signalée hors délai.

En conséquence, l’autorité a déclaré que la Direction générale de la durabilité de la Mairie de Madrid avait enfreint la réglementation sur la protection des données.
En outre, l’autorité a ordonné à l'entité de prendre les mesures nécessaires pour mettre ses traitements en conformité avec la réglementation et de le prouver dans un délai de six mois.