L'autorité italienne de protection des données a sanctionné une agence régionale pour l'emploi pour avoir publié en ligne et rendu indexable par les moteurs de recherche la liste des candidats à une procédure de recrutement, en l'absence de base légale spécifique justifiant une telle diffusion.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a aujourd'hui publié une décision de sanction à l'encontre de l'Agence Régionale pour le travail de l'Émilie-Romagne pour des manquements en lien avec la publication en ligne de la liste des participants à une procédure de recrutement.

L'affaire trouve son origine dans la plainte d'une personne dont les nom et prénom figuraient dans une liste de classement publiée en ligne et indexée par les moteurs de recherche, dans le cadre d'une sélection pour des postes d'opérateur technique d'accueil au sein de l'entreprise hospitalo-universitaire de Bologne.

Motifs de la décision

• Obligation de licéité et de minimisation des données (article 5, paragraphe 1, points a) et c) du RGPD et article 6 du RGPD) : L'agence régionale a diffusé sur son site internet, en permettant leur indexation par les moteurs de recherche, les noms d'environ 700 candidats à une procédure de recrutement spécifique. L'autorité a jugé ce traitement illicite, car l'agence n'a pu démontrer l'existence d'une norme légale ou réglementaire l'obligeant à une telle publication en ligne. L'autorité a réfuté l'argument de l'agence fondé sur les obligations de transparence, en précisant que ces obligations ne s'appliquent qu'aux procédures de concours classiques et non à la procédure spécifique de recrutement par orientation depuis les listes des centres pour l'emploi (art. 16 de la loi n. 56/1987). De même, si la réglementation (D.P.R. 487/1994) prévoit de "rendre publiques" ces listes, elle spécifie une modalité limitée (affichage sur un tableau d'information) et non une diffusion généralisée en ligne, violant ainsi également le principe de minimisation.

Décision de l'autorité

En conséquence, l'autorité a prononcé une sanction à l'encontre de l'Agence Régionale pour le travail de l'Émilie-Romagne.

Enseignements

Cette décision rappelle que :

• La diffusion de données personnelles en ligne par un organisme public doit reposer sur une base légale explicite et spécifique ; les principes généraux de transparence ne suffisent pas à justifier une publication généralisée.
• Les modalités de publicité prévues par une norme (comme l'affichage sur un tableau d'information) doivent être respectées et ne peuvent être étendues de manière disproportionnée, telle qu'une publication en ligne accessible via les moteurs de recherche, sans habilitation légale.
• Une analyse juridique précise de la nature de chaque procédure administrative est indispensable pour déterminer les obligations de publication applicables, car des régimes distincts peuvent coexister (par exemple, entre un concours public et un recrutement sur liste).