Une autorité publique ne peut se fonder sur une obligation légale de transparence pour publier des données personnelles si les actes concernés ne sont pas explicitement visés par la loi, un tel traitement étant alors dépourvu de base légale et justifiant l'exercice du droit à l'effacement.

Faits et contexte

L'autorité hellénique de protection des données a aujourd'hui publié une décision de sanction à l'encontre de l'Administration décentralisée de la mer Égée, comprenant le prononcé d'une amende de 2 000 €, pour des manquements liés à la publication de données personnelles sur un portail de transparence sans base légale valide.

L'affaire trouve son origine dans la plainte d'une ingénieure dont le nom figurait dans onze décisions de refus d'autorisation publiées en ligne sur le portail "Clarté" (ΔΙΑΥΓΕΙΑ).

Motifs de la décision

• Obligation de licéité du traitement (article 5, paragraphe 1, point a) du RGPD et article 6, paragraphe 1, point c) du RGPD) : L'administration justifiait la publication des décisions litigieuses, contenant le nom de la plaignante, par une obligation légale de transparence. Toutefois, l'autorité a constaté que la législation nationale invoquée (article 4, paragraphe 10 de la décision ministérielle 146896/2014) n'imposait la publication que pour les autorisations d'exploitation des ressources en eau *accordées*, et non pour les décisions de *refus*. En l'absence de disposition légale spécifique imposant la publication de ces refus, le traitement était dépourvu de base légale au sens de l'article 6, paragraphe 1, point c) du RGPD, et violait par conséquent le principe de licéité de l'article 5, paragraphe 1, point a) du RGPD.
• Obligation de respecter le droit à l'effacement (article 17, paragraphe 1, point d) du RGPD) : La plaignante avait exercé son droit à l'effacement, que l'administration avait rejeté en invoquant l'exception de l'article 17, paragraphe 3, point b) du RGPD, relative à la nécessité de se conformer à une obligation légale. L'autorité a jugé que, le traitement initial étant illicite, la condition d'effacement prévue à l'article 17, paragraphe 1, point d) du RGPD ("les données à caractère personnel ont fait l'objet d'un traitement illicite") était remplie. Par conséquent, l'exception invoquée n'était pas applicable, car il n'existait aucune obligation légale justifiant le maintien des données en ligne, et l'administration aurait dû faire droit à la demande de suppression.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 000 € à l'Administration décentralisée de la mer Égée.

En outre, l'autorité a ordonné la suppression immédiate des onze décisions du programme "Clarté" et a prononcé une réprimande pour la violation du droit à l'effacement.

Enseignements

Cette décision rappelle que :

• L'existence d'une obligation légale justifiant un traitement de données, notamment une publication, doit être interprétée de manière stricte et ne peut être étendue par analogie à des situations non explicitement prévues par la loi.
• Le caractère illicite du traitement initial des données constitue un motif autonome justifiant l'exercice du droit à l'effacement au titre de l'article 17, paragraphe 1, point d) du RGPD.
• Un responsable du traitement ne peut invoquer l'exception au droit à l'effacement fondée sur une obligation légale (article 17, paragraphe 3, point b) du RGPD) si l'autorité de contrôle a préalablement constaté que cette même obligation légale n'existait pas pour le traitement initial.