Une municipalité italienne a été sanctionnée pour avoir communiqué prématurément l'appartenance syndicale d'une employée à son futur employeur, l'autorité jugeant que la finalisation future du transfert de l'employée ne justifiait pas une telle divulgation anticipée en l'absence de base juridique spécifique.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la municipalité de San Genesio ed Uniti (comprenant le prononcé d'une amende de 2 000 €) pour des manquements en lien avec la communication illicite de données relatives à l'appartenance syndicale d'une employée à son futur employeur.

L'affaire trouve son origine dans la plainte d'une ancienne employée de la municipalité, qui contestait la communication de son appartenance syndicale et d'autres données personnelles à un autre organisme public dans le cadre d'une procédure de mobilité volontaire.

Motifs de la décision

• Obligation de licéité, loyauté et transparence du traitement (article 5, paragraphe 1, point a) du RGPD), de disposer d'une base juridique appropriée (article 6 du RGPD) et de respecter l'interdiction de traiter des catégories particulières de données (article 9 du RGPD) : La municipalité a adressé une note à l'organisme de destination de son employée, qui était en procédure de mobilité. Cette note, qui répondait à une sollicitation de l'employée et de son représentant syndical, a été mise en copie à cet organisme de destination. Elle révélait non seulement des données personnelles de l'employée, mais aussi son appartenance syndicale ainsi que les données d'identification du représentant syndical. L'autorité a rappelé que le traitement de données relatives à l'appartenance syndicale est en principe interdit par l'article 9, paragraphe 1, du RGPD. Dans le contexte du droit du travail, une dérogation est possible au titre de l'article 9, paragraphe 2, point b), du RGPD, si le traitement est nécessaire pour exercer des droits et remplir des obligations spécifiques en matière de droit du travail et de la sécurité sociale. Or, la communication à l'organisme de destination n'entrait pas dans ce cadre. L'autorité a rejeté l'argument de la municipalité selon lequel elle aurait agi de bonne foi, pensant que l'organisme de destination était déjà informé. Elle a souligné qu'au moment de la communication, la procédure de mobilité n'était pas finalisée, les deux relations de travail étaient distinctes, et l'employée aurait pu théoriquement modifier son affiliation syndicale avant son transfert effectif. La communication était donc dépourvue de base juridique et violait les principes fondamentaux du RGPD.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 000 € à la municipalité de San Genesio ed Uniti.

En outre, l'autorité a ordonné la publication de la décision sur son site internet, en raison du traitement de catégories particulières de données sans base juridique.

Enseignements

Cette décision confirme / précise / rappelle que :

• La communication future et légitime d'informations à un tiers ne justifie pas leur divulgation anticipée si les conditions légales pour ce partage ne sont pas encore réunies.

• Le traitement de données relatives à l'appartenance syndicale doit être strictement limité aux finalités prévues par la loi, telles que la gestion des retenues salariales ou des droits syndicaux, et ne peut être étendu à d'autres communications sans base juridique spécifique.

• La bonne foi ou la conviction erronée qu'un destinataire est déjà en possession d'une information ne constitue pas une base juridique valable pour la communication de données personnelles, en particulier de données sensibles.

• Dans le cadre de la mobilité d'un employé, les relations de travail avec l'employeur d'origine et celui de destination restent distinctes tant que le transfert n'est pas effectif, ce qui impose une séparation stricte des traitements de données.

• Les responsables de traitement, y compris les petites entités publiques, doivent porter une attention particulière à la liste des destinataires de leurs communications pour s'assurer que chaque envoi est justifié au regard du principe de minimisation et de licéité.