L'autorité italienne de protection des données a publié une décision de sanction à l'encontre de la commune de Mirabella Imbaccari, comprenant le prononcé d'une amende de 1 800 €, pour des manquements liés à la diffusion illicite de données personnelles sur son site internet et à la communication des coordonnées de son délégué à la protection des données.

Faits et contexte

L'affaire trouve son origine dans la plainte d'une personne physique concernant la publication en ligne de plusieurs délibérations municipales contenant ses données personnelles dans le cadre d'un contentieux pour abus de construction.

Motifs de la décision

L'autorité a retenu deux manquements distincts à l'encontre de la commune :

• Obligation de licéité et de minimisation des données (article 5, paragraphe 1, points a) et c) du RGPD et article 6 du RGPD) : L'autorité a constaté que la commune avait publié sur son site internet deux délibérations du conseil municipal relatives à la constitution en justice dans un litige. Ces documents mentionnaient en clair le nom de la plaignante et des informations sur le contentieux. L'autorité a jugé cette diffusion disproportionnée, rappelant ses Lignes directrices en matière de transparence (provvedimento generale n. 243 del 15/5/2014) et sa jurisprudence constante selon laquelle, pour de tels actes, l'indication du numéro de rôle général de l'affaire est suffisante. De plus, les documents sont restés en ligne bien au-delà du délai légal de 15 jours prévu par la législation italienne, ce qui constitue une diffusion illicite faute de base légale valide pour la période excédentaire.
• Obligation de désigner et de communiquer les coordonnées du délégué à la protection des données (article 37, paragraphes 1 et 7 du RGPD) : Au cours de l'instruction, il est apparu que les coordonnées du délégué à la protection des données (DPD) communiquées à l'autorité n'étaient plus à jour depuis le 28 mai 2021. La commune, en tant qu'autorité publique, a ainsi manqué à son obligation de communiquer sans délai les coordonnées exactes de son nouveau DPD. Les difficultés budgétaires et le manque de personnel invoqués par la commune n'ont pas été considérés comme des justifications suffisantes pour écarter la violation.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 800 € à la commune de Mirabella Imbaccari, décomposée en 1 200 € pour la diffusion illicite de données et 600 € pour le manquement relatif au DPD. Pour la fixation du montant, l'autorité a tenu compte de la nature fautive de la conduite, de la coopération de la commune, de sa petite taille, du manque de personnel qualifié et de l'absence de violations antérieures, tout en se référant aux Lignes directrices 04/2022 du Comité européen de la protection des données sur le calcul des amendes administratives.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision rappelle que :

• La publication d'actes administratifs en ligne, même lorsqu'elle est prévue par la loi, doit respecter le principe de minimisation ; pour les actes relatifs à des contentieux, la mention du nom des parties est généralement excessive et doit être remplacée par des données non identifiantes comme le numéro de dossier.
• La base légale autorisant la publication d'un document pour une durée déterminée (par exemple, 15 jours sur un tableau d'affichage officiel en ligne) ne justifie pas son maintien en accès libre au-delà de cette période ; une telle conservation constitue une diffusion illicite.
• L'exception relative à la constatation, à l'exercice ou à la défense d'un droit en justice ne peut servir de fondement à une diffusion généralisée de données personnelles sur le site internet d'un organisme public.
• L'obligation de communiquer les coordonnées du DPD à l'autorité de contrôle est une obligation continue qui impose une mise à jour diligente en cas de changement.