Une agence publique italienne est sanctionnée pour la diffusion illicite de données personnelles relatives à un litige de travail, conservées en ligne pendant plusieurs années sur son tableau d'affichage public en raison d'une erreur technique.

Faits et contexte

L'autorité italienne de protection des données, le Garant pour la protection des données personnelles (GPDP), a aujourd'hui publié une décision de sanction à l'encontre de l'Agence régionale des Secrétaires des Collectivités Locales de la Vallée d'Aoste (comprenant le prononcé d'une amende de 10 000 €) pour des manquements en lien avec la diffusion illicite de données personnelles sur son site internet.

L'affaire trouve son origine dans la plainte d'une personne concernant la publication en ligne de plusieurs délibérations contenant ses données personnelles dans le cadre d'un litige professionnel avec l'agence.

Motifs de la décision

L'autorité a retenu les manquements suivants :

• Absence de base juridique pour la diffusion des données (article 6 du RGPD et article 2-ter du Code italien de protection des données) : L'agence a diffusé sur son tableau d'affichage public en ligne des délibérations contenant des informations détaillées sur un contentieux de travail avec la plaignante. L'autorité rappelle que la diffusion de données personnelles par un organisme public n'est licite que si elle est prévue par une disposition légale ou réglementaire spécifique. L'agence n'a pu identifier aucune base juridique valable, se contentant d'invoquer des obligations générales de publicité légale et de transparence, jugées insuffisantes par le GPDP pour justifier la publication de données aussi détaillées.
• Violation des principes de licéité et de minimisation des données (article 5 du RGPD) : En l'absence de base juridique, le traitement était illicite par nature, violant ainsi le principe de "licéité, loyauté et transparence". De plus, le principe de minimisation a été enfreint, car les documents publiés contenaient des informations non nécessaires et excessives, incluant le nom de la personne concernée directement dans l'objet des délibérations. Le GPDP a souligné que le fait que le litige ait été de notoriété publique à l'époque ne dispensait pas l'agence de respecter ses obligations, notamment celle de ne diffuser que les données strictement nécessaires.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 10 000 € à l’Agence régionale des Secrétaires des Collectivités Locales de la Vallée d'Aoste.

En outre, l'autorité a ordonné la publication de la décision sur son site internet.

Enseignements

Cette décision rappelle que :

• L'obligation générale de transparence qui pèse sur les administrations publiques ne constitue pas une base juridique suffisante pour justifier la diffusion en ligne de toutes les données personnelles contenues dans leurs documents ; une norme légale ou réglementaire spécifique est indispensable.
• Le fait qu'une information soit déjà dans le domaine public ne dispense pas un responsable de traitement, en particulier une autorité publique, de l'obligation de disposer d'une base juridique valide pour ses propres opérations de traitement, comme la diffusion en ligne.
• Une "erreur technique" ayant pour conséquence la conservation prolongée de données en ligne n'exonère pas le responsable de traitement de sa responsabilité, qui doit mettre en œuvre des mesures techniques et organisationnelles pour garantir la protection des données par défaut, y compris des revues périodiques des contenus publiés.