Sanction d'un établissement scolaire pour la communication non autorisée d'une note disciplinaire sur un élève, visible par toute la classe via le registre électronique, en raison d'une erreur de manipulation d'un enseignant.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de l'Institut Professionnel d'État Pietro d'Abano (comprenant le prononcé d'une amende de 1 000 €) pour des manquements en lien avec la communication illicite de données personnelles d'un élève.

L'affaire trouve son origine dans la plainte d'un parent, suite à la publication d'une note concernant son fils dans une section du registre électronique accessible à toute la classe et aux parents d'élèves.

Motifs de la décision

• Obligation de licéité du traitement (article 5, paragraphe 1, point a) du RGPD et article 6 du RGPD) : L'autorité a constaté qu'un enseignant avait publié une note sur un élève dans la section "Agenda" du registre électronique, la rendant visible à toute la classe et aux parents. Bien que résultant d'une erreur de manipulation, cette action constitue une communication de données à des tiers non autorisés. L'autorité a jugé ce traitement illicite, car il ne reposait sur aucune base légale valable au sens de l'article 6, paragraphes 1, points c) et e), 2 et 3 du RGPD, et des dispositions spécifiques du droit national (article 2-ter du Code italien) qui n'autorisent la communication de données par des entités publiques que si elle est prévue par une norme légale ou réglementaire. L'autorité a souligné que la responsabilité incombait à l'établissement en tant que responsable du traitement, et non à l'enseignant, en se référant aux lignes directrices 07/2020 du Comité Européen de la Protection des Données (CEPD) et à l'arrêt C-741/21 de la Cour de Justice de l'Union Européenne (CJUE).

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 000 € à l’Institut Professionnel d'État Pietro d'Abano.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet, justifiant cette mesure par le fait que la violation concernait les données d'un mineur, considéré comme une personne particulièrement vulnérable.

Enseignements

Cette décision confirme / précise / rappelle que :

• La responsabilité d'une violation de données causée par l'erreur d'un employé incombe à l'organisme en tant que responsable du traitement, qui ne peut s'exonérer en invoquant la simple négligence de son personnel.
• La mise à disposition d'informations personnelles sur un élève, même à un groupe restreint comme sa classe et les parents, constitue une "communication" de données qui doit reposer sur une base juridique solide et ne peut être justifiée par une simple erreur.
• Les données personnelles des mineurs, notamment celles relatives à des évaluations ou des mesures disciplinaires, exigent une protection renforcée en raison de leur vulnérabilité particulière, comme le souligne le considérant 38 du RGPD.
• La coopération avec l'autorité, l'absence d'antécédents, le caractère non intentionnel de la violation et la prise de mesures correctives rapides sont des facteurs déterminants pour la réduction du montant d'une amende administrative.