La communication par un établissement scolaire du statut vaccinal d'une élève mineure au maire de la commune, en l'absence de base légale spécifique, constitue un traitement illicite de données de santé, même si elle est motivée par la protection de la santé publique.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a publié une décision de sanction à l'encontre de l'Institut Omnicomprensivo Ancel Keys pour des manquements en lien avec la communication illicite de données de santé d'une élève mineure.

L'affaire trouve son origine dans la plainte de la mère d'une élève, qui reprochait à l'établissement d'avoir informé le maire de la commune de l'exclusion de sa fille en raison du non-respect de l'obligation vaccinale.

Motifs de la décision

• Obligation de traiter les données de manière licite et de disposer d'une base légale appropriée pour le traitement de données personnelles et de santé (article 5, paragraphe 1, point a), article 6 et article 9 du RGPD) : L'autorité a constaté que l'institut avait communiqué au maire de la commune des informations sur le statut vaccinal d'une élève mineure, ce qui constitue un traitement de données relatives à la santé. L'institut a justifié cette transmission en invoquant le rôle du maire en tant qu'autorité sanitaire locale et les pratiques établies durant la pandémie de COVID-19, notamment pour protéger un autre élève jugé fragile. Cependant, l'autorité a jugé qu'aucune base légale, telle qu'une disposition légale ou réglementaire spécifique, n'autorisait une telle communication à un tiers, en violation des articles 6 et 9 du RGPD. L'autorité a rappelé que les données des mineurs méritent une protection spécifique en raison de leur vulnérabilité, conformément au considérant 38 du RGPD.

Décision de l'autorité

En conséquence, l'autorité a jugé le traitement illicite et a déclaré applicable une sanction administrative à l'encontre de l'Institut Omnicomprensivo Ancel Keys.

Enseignements

Cette décision rappelle que :

• La base légale autorisant la collecte et le traitement interne de données (telles que le statut vaccinal pour l'admission scolaire) ne constitue pas automatiquement une base légale pour leur communication à des tiers, même s'il s'agit d'autorités publiques.
• Les procédures exceptionnelles mises en place durant une situation d'urgence sanitaire (comme la pandémie de COVID-19) ne peuvent être transposées et utilisées comme base légale pour des traitements de données en dehors de ce contexte spécifique.
• L'identification d'une autorité publique comme ayant des compétences dans un domaine (par exemple, la santé publique) ne suffit pas à légitimer la communication de données personnelles ; une disposition normative précise doit explicitement prévoir ou autoriser cette transmission.