Le Garant italien pour la protection des données personnelles (GPDP) a sanctionné une commune pour avoir diffusé par erreur sur son site internet les données de plus de 31 000 contribuables. La décision met en lumière les manquements liés à la configuration par défaut d'un logiciel de publication et à l'absence de communication de la violation aux personnes concernées.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la commune de Rieti pour des manquements en lien avec la diffusion non autorisée de données personnelles sur son site internet.

L'affaire trouve son origine dans un signalement, relayé par un article de presse, dénonçant la publication en ligne d'un fichier contenant les données personnelles de plus de 31 000 contribuables à la taxe sur les déchets (TARI).

Motifs de la décision

L'enquête a révélé qu'une détermination administrative avait été publiée le XX sur le tableau d'affichage public et dans la section "Administration transparente" du site de la commune, avec en pièces jointes des documents qui n'auraient pas dû être publics. Ces annexes contenaient notamment la liste des employés d'une entreprise (nom et prénom de 50 personnes) et le rôle de la taxe sur les déchets, qui recensait environ 31 000 usagers (personnes physiques et morales) avec leurs nom, prénom, code fiscal, résidence, ainsi que les données cadastrales et la superficie de leurs biens immobiliers. La publication, due à une erreur humaine, est restée en ligne pendant 11 jours avant d'être retirée le XX, après avoir été consultée 57 fois et téléchargée 31 fois par des tiers. L'autorité a retenu plusieurs violations :

• Obligation de respecter les principes de traitement (article 5 du RGPD) : L'autorité a jugé que la diffusion en ligne de la liste complète des contribuables, incluant leurs noms, codes fiscaux, adresses et données cadastrales, était illicite, car aucune obligation légale ne justifiait une telle publicité. Cette publication a également violé les principes de minimisation des données, en diffusant bien plus d'informations que nécessaire, et d'intégrité et de confidentialité, en exposant les données à des tiers non autorisés.
• Obligation de responsabilité du responsable du traitement (articles 5, paragraphe 2, et 24 du RGPD) : La commune n'a pas été en mesure de démontrer la mise en place de mesures techniques et organisationnelles appropriées pour garantir et prouver que le traitement était effectué conformément au RGPD, comme en témoigne l'erreur de publication et sa gestion.
• Obligation de protection des données dès la conception et par défaut (article 25 du RGPD) : L'autorité a souligné que la configuration par défaut du logiciel de publication, qui entraînait la mise en ligne automatique des pièces jointes sauf action manuelle contraire de l'opérateur, constituait un manquement. Le responsable du traitement aurait dû s'assurer que les paramètres les plus protecteurs de la vie privée étaient appliqués par défaut, afin de prévenir de telles erreurs.
• Obligation de sécurité du traitement (article 32 du RGPD) : La publication accidentelle, résultant d'une erreur humaine combinée à une configuration logicielle non sécurisée par défaut, a été considérée comme une défaillance des mesures techniques et organisationnelles visant à garantir un niveau de sécurité adapté au risque.
• Obligation de communication d'une violation de données (article 34 du RGPD) : La commune a estimé que la violation ne présentait pas un risque élevé pour les droits et libertés des personnes, arguant de l'absence de données des catégories particulières ou relatives à des condamnations pénales, et n'a donc pas informé individuellement les 31 050 personnes concernées. L'autorité a rejeté cette analyse, considérant que la nature et le volume des données exposées (identité, code fiscal, domicile, patrimoine immobilier) créaient un risque élevé, notamment de fraude ou d'usurpation d'identité, rendant la communication obligatoire. Ce manquement s'accompagne d'une violation de l'article 12, paragraphe 1, du RGPD relatif à la transparence des communications.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 6000 € à la commune de Rieti.

Enseignements

Cette décision rappelle que :

• La configuration par défaut d'un outil logiciel doit être la plus protectrice de la vie privée ; le fait de devoir effectuer une action manuelle pour *empêcher* une publication de données constitue une violation du principe de protection des données par défaut.
• L'évaluation du risque pour les droits et libertés des personnes, afin de déterminer si la communication d'une violation est obligatoire, ne doit pas se limiter à la seule présence de données des catégories particulières (article 9) ou pénales (article 10). La combinaison de données d'identification, de contact et patrimoniales à grande échelle peut constituer un risque élevé.
• L'erreur humaine n'exonère pas le responsable de traitement de sa responsabilité lorsque celle-ci est rendue possible par des mesures techniques et organisationnelles insuffisantes, telles qu'une formation lacunaire du personnel et l'absence de garde-fous techniques.