Un défaut de robustesse dans le code d'une application, ayant entraîné une communication non autorisée de données, est sanctionné au titre des articles 25 et 32 du RGPD, même si l'incident était de courte durée et sans conséquences permanentes pour les personnes concernées.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de l'Université de Pise, comprenant le prononcé d'une amende de 15 000 €, pour des manquements en lien avec la sécurité des données et la licéité du traitement sur son portail d'inscription aux examens.

L'affaire a débuté par un signalement indiquant qu'il était possible, via le portail d'inscription aux examens, de consulter la liste des inscrits, de voir leurs informations et même d'annuler leurs inscriptions.

Motifs de la décision

À la suite d'une enquête, l'autorité a constaté un dysfonctionnement sur la plateforme "ÉVALUE-MOI" utilisée pour la gestion des inscriptions aux examens. Une mise à jour d'une Interface de Programmation d'Application (API) a provoqué un défaut technique : le champ contenant le numéro de matricule de l'étudiant était renvoyé comme une chaîne de caractères vide au lieu d'une valeur nulle. Pendant environ une heure, cette anomalie a permis aux étudiants connectés de consulter les données (nom, prénom, adresse de courriel institutionnelle) d'autres étudiants authentifiés simultanément et d'intervenir sur leurs inscriptions, entraînant l'annulation erronée de 156 inscriptions pour 137 étudiants concernés. L'université a par la suite restauré les inscriptions annulées.

• Obligation de licéité, loyauté et transparence du traitement (article 5, paragraphe 1, point a) du RGPD et article 6 du RGPD) : L'autorité a jugé que le dysfonctionnement a entraîné une communication de données personnelles à des tiers non autorisés (d'autres étudiants) en l'absence de toute base juridique valable. L'argument de l'université, fondé sur le principe de publicité des examens, a été écarté. L'autorité a souligné que cet incident ne relevait pas du fonctionnement normal de la plateforme, mais d'un accès indiscriminé aux données d'étudiants inscrits à des sessions d'examen différentes, ce qui n'est couvert par aucune disposition légale ou réglementaire.
• Obligation de protection des données dès la conception et par défaut (article 25 du RGPD) : L'autorité a estimé que l'université n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées dès la conception du système. L'absence de contrôles de robustesse pour vérifier la cohérence des données, notamment pour gérer le cas d'une chaîne de caractères vide retournée par l'API, a été considérée comme une défaillance dans l'intégration des garanties nécessaires pour protéger les droits des personnes concernées.
• Obligation de sécurité du traitement (article 32 du RGPD) : Le manque de mécanismes de validation et de gestion des anomalies a été qualifié de mesure de sécurité inadéquate. Cette carence a directement compromis la confidentialité des données en les exposant à des personnes non autorisées, ainsi que leur intégrité et leur disponibilité en permettant des modifications illégitimes (annulations d'inscriptions). Le niveau de sécurité n'était donc pas adapté au risque.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 15 000 € à l’Université de Pise.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision rappelle que :

• La robustesse du code applicatif, notamment la capacité à gérer des scénarios d'erreur même jugés improbables comme la réception d'une chaîne de caractères vide au lieu d'une valeur nulle, est une composante essentielle des mesures techniques de l'article 32 du RGPD.
• Une base juridique autorisant la publicité de certaines informations (comme la liste des inscrits à un examen) ne peut justifier une communication de données plus large résultant d'un dysfonctionnement technique.
• La protection des données dès la conception impose d'intégrer des contrôles de cohérence et de validité des données, en particulier lors de l'interaction entre différents systèmes ou lors de l'utilisation d'interfaces de programmation d'applications (API).
• La coopération avec l'autorité, l'absence d'antécédents, la nature non intentionnelle de la violation et la mise en œuvre rapide de mesures correctives sont des facteurs atténuants significatifs dans la détermination du montant de l'amende.