L'autorité italienne de protection des données (Garante) sanctionne l'Agence pour l'Italie numérique (AgID) d'une amende de 55 000 € pour ne pas avoir informé les professionnels du transfert automatique et de la publication de leur domicile numérique professionnel dans un nouvel annuaire public, accessible à tous.

Faits et contexte

L'autorité italienne de protection des données (Garante) a aujourd'hui publié une décision de sanction à l'encontre de l'Agence pour l'Italie numérique (AgID), comprenant le prononcé d'une amende de 55 000 €, pour des manquements liés à l'information des personnes concernées et à la protection des données dès la conception lors de la création de l'Indice national des domiciles numériques (INAD).

L'affaire trouve son origine dans plusieurs plaintes et signalements reçus par l'autorité suite à la mise en service de l'INAD, qui a permis le transfert automatique des adresses professionnelles depuis un autre registre (INI-PEC).

Motifs de la décision

L'autorité a retenu les manquements suivants à l'encontre de l'AgID, en sa qualité de gestionnaire de l'INAD et donc de responsable du traitement :

• Obligation de licéité, loyauté, transparence et de limitation des finalités (article 5, paragraphe 1, points a) et b) du RGPD) et obligation d'information (article 12 et article 14 du RGPD) : L'AgID a procédé au transfert automatique des adresses électroniques professionnelles (PEC) de l'indice INI-PEC vers le nouvel indice INAD, les rendant ainsi publiquement consultables par quiconque. Ce traitement constituait une finalité nouvelle et élargie, car une adresse à usage professionnel devenait par défaut un domicile numérique personnel. L'autorité a jugé que l'AgID n'avait pas informé de manière adéquate et préalable les professionnels concernés de ce transfert, les privant de la possibilité d'élire un domicile numérique personnel distinct avant la publication. L'autorité a rejeté l'argument de l'"effort disproportionné" (article 14, paragraphe 5, point b) du RGPD), soulignant que des mesures d'information plus efficaces, bien que tardives, ont finalement été mises en œuvre via les ordres professionnels, prouvant leur faisabilité.
• Obligation de protection des données dès la conception et par défaut (article 25 du RGPD) et de responsabilité (article 5, paragraphe 2, du RGPD) : L'autorité a estimé que l'AgID n'avait pas mis en œuvre, dès la conception du service INAD, les mesures techniques et organisationnelles appropriées pour garantir le respect des principes de protection des données. En particulier, le système a publié par défaut les données transférées sans s'assurer que les personnes concernées aient été préalablement informées et mises en mesure d'exercer leurs choix. Le retard de deux ans dans la mise en place de mesures correctives efficaces a également été considéré comme un manquement au principe de responsabilité, qui exige de pouvoir démontrer la conformité et de prendre des mesures adéquates en temps utile.

L'autorité a en revanche décidé de classer les griefs relatifs à l'indication erronée du fournisseur de service lors de l'authentification (violation de l'article 13 du RGPD) et au défaut de coopération (article 31 du RGPD), considérant que d'autres éléments d'information permettaient d'identifier le responsable du traitement et que les retards de réponse étaient justifiés par des difficultés organisationnelles.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 55 000 € à l'Agence pour l'Italie numérique (AgID).

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision confirme / précise / rappelle que :

• Le transfert de données personnelles vers un nouvel annuaire public pour une finalité élargie constitue un traitement ultérieur qui exige une information spécifique et préalable des personnes concernées.
• L'exception de l'"effort disproportionné" pour l'obligation d'information (article 14, paragraphe 5, point b) du RGPD) est d'interprétation stricte et ne peut être invoquée lorsqu'il existe des canaux de communication indirects mais efficaces, tels que les ordres professionnels.
• La protection des données dès la conception impose d'intégrer les garanties, comme l'information et la possibilité de choix, dans le processus avant toute publication de données, et non de les ajouter a posteriori.
• Le principe de responsabilité implique non seulement de définir des mesures de conformité, mais aussi de les mettre en œuvre de manière efficace et réactive, notamment en corrigeant rapidement les manquements identifiés.