L'Agence Espagnole de Protection des Données (AEPD) a publié une décision constatant une infraction à l'encontre du Vice-conseil de l'Éducation, des Universités et de la Recherche de la Communauté de Castille-La Manche, pour des manquements en lien avec la confidentialité des données de santé d'un élève.

Cette affaire débute par une plainte déposée le 5 janvier 2023, signalant l'envoi d'un message par un établissement scolaire le 24 novembre 2022, qui aurait porté atteinte à la protection des données personnelles d'un élève.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : Le Vice-conseil est tenu pour responsable de la divulgation non autorisée d'informations relatives à l'état de santé psychique d'un élève à ses camarades de classe. Cette divulgation a résulté de l'envoi d'un message par un membre du personnel, initialement destiné au corps enseignant. L'autorité a rejeté l'argument de l'erreur humaine, estimant que le responsable du traitement doit mettre en œuvre des mesures préventives pour neutraliser de tels risques prévisibles. Elle a conclu que les mesures techniques et organisationnelles étaient insuffisantes, notamment en raison de l'absence de contrôles efficaces pour les communications sensibles impliquant des données de santé de mineurs.

En conséquence, l'autorité a prononcé une déclaration d'infraction à l'encontre du Vice-conseil de l'Éducation, des Universités et de la Recherche: aucune amende ne peut en effet être prononcée contre les entités publiques. En outre, l’autorité a ordonné à l'entité d'apporter, dans un délai d'un mois, la preuve de l'adoption des mesures nécessaires pour se conformer à ses obligations, en particulier concernant les communications adressées à de multiples destinataires.