L'autorité espagnole sanctionne le Colegio Nuestra Señora de la Caridad del Cobre pour une violation de données personnelles
L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre du Collège Notre-Dame de la Charité du Cuivre, comprenant le prononcé d'une amende de 5 000 €, pour des manquements en lien avec la sécurité des données et la communication d'une violation de données personnelles suite au vol d'un ordinateur portable.Cette affaire débute par la notification d'une violation de données par le collège le 24 mars 2023, suite au vol de l'ordinateur portable de la directrice pédagogique survenu le 21 mars 2023.
L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : L'autorité a relevé que le collège n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. En effet, l'ordinateur portable volé, contenant des données personnelles d'environ 450 personnes dont 150 mineurs et incluant des données de santé, n'était pas chiffré. Les mesures existantes, telles que le verrouillage de l'écran, ont été jugées insuffisantes au regard de la sensibilité des données exposées.
* Obligation de communication d'une violation de données aux personnes concernées (article 34 du RGPD) : Le collège a manqué à son obligation d'informer les personnes concernées sans retard injustifié. Il avait initialement estimé que la violation présentait un risque faible, une analyse contestée par l'autorité en raison de la nature des données (santé, mineurs). La communication aux 450 personnes affectées n'a été effectuée que le 3 mai 2023, suite à une injonction de l'autorité en date du 4 avril 2023.
En conséquence, l’autorité a imposé une amende de 5 000 € au Collège Notre-Dame de la Charité du Cuivre.
En outre, l’autorité a ordonné au collège de mettre en œuvre, dans un délai de six mois, des mesures de protection techniques et organisationnelles appropriées, notamment le chiffrement des données et des contrôles d'accès pour prévenir l'accès non autorisé aux données personnelles.
L’enquête menée par l’autorité a permis de constater :
* Obligation de sécurité du traitement (article 32 du RGPD) : L'autorité a relevé que le collège n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. En effet, l'ordinateur portable volé, contenant des données personnelles d'environ 450 personnes dont 150 mineurs et incluant des données de santé, n'était pas chiffré. Les mesures existantes, telles que le verrouillage de l'écran, ont été jugées insuffisantes au regard de la sensibilité des données exposées.
* Obligation de communication d'une violation de données aux personnes concernées (article 34 du RGPD) : Le collège a manqué à son obligation d'informer les personnes concernées sans retard injustifié. Il avait initialement estimé que la violation présentait un risque faible, une analyse contestée par l'autorité en raison de la nature des données (santé, mineurs). La communication aux 450 personnes affectées n'a été effectuée que le 3 mai 2023, suite à une injonction de l'autorité en date du 4 avril 2023.
En conséquence, l’autorité a imposé une amende de 5 000 € au Collège Notre-Dame de la Charité du Cuivre.
En outre, l’autorité a ordonné au collège de mettre en œuvre, dans un délai de six mois, des mesures de protection techniques et organisationnelles appropriées, notamment le chiffrement des données et des contrôles d'accès pour prévenir l'accès non autorisé aux données personnelles.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire