La publication en ligne de la liste des candidats admis à une épreuve intermédiaire d'un concours public, contenant leurs noms, prénoms et notes, constitue une diffusion de données illicite en l'absence de base légale spécifique, et ce même si elle résulte d'une erreur opérationnelle.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de l'Agence pour l'Italie Numérique (AGID), comprenant le prononcé d'une amende de 15 000 €, pour des manquements en lien avec la publication en ligne de données personnelles de candidats à un concours public.

L'affaire trouve son origine dans la plainte d'un candidat à un concours organisé en 2021, qui a constaté la publication en ligne de la liste des participants admis à l'épreuve orale, incluant son nom, son prénom et sa note.

Motifs de la décision

• Obligation de licéité et de minimisation des données (article 5 du RGPD et article 6 du RGPD) : L'autorité rappelle que si les organismes publics peuvent traiter des données dans le cadre de procédures de concours sur la base de l'exécution d'une mission d'intérêt public, la diffusion en ligne de ces données doit reposer sur une base légale spécifique et proportionnée. Or, la législation italienne en matière de transparence impose la publication des classements finaux des concours, mais pas celle des listes intermédiaires comme les candidats admis à une épreuve. En publiant la liste des quinze candidats admis à l'épreuve orale avec leurs noms, prénoms et notes, l'AGID a procédé à une diffusion de données sans base légale adéquate, violant ainsi le principe de licéité. L'autorité estime également que cette publication est contraire au principe de minimisation, car elle n'était pas nécessaire au regard des finalités de transparence de l'action administrative. Le fait que cette publication soit due à une "simple erreur opérationnelle" n'écarte pas l'illicéité du traitement.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 15 000 € à l’Agence pour l'Italie Numérique.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision confirme que :

• La publication en ligne de données personnelles par un organisme public doit reposer sur une obligation légale claire et spécifique, qui ne peut être déduite de l'autorisation générale de traiter des données pour l'exécution d'une mission d'intérêt public.
• Dans le cadre de procédures de recrutement, seules les listes de résultats définitifs (classements finaux) doivent faire l'objet d'une publication en ligne ; les résultats intermédiaires (listes d'admis aux épreuves, notes) doivent être communiqués aux seuls candidats concernés, par exemple via un espace sécurisé.
• Une erreur opérationnelle ou une "simple négligence" n'exonère pas le responsable du traitement de sa responsabilité en cas de diffusion illicite de données, bien que le caractère non intentionnel du manquement puisse être pris en compte dans la fixation du montant de la sanction.