La publication en ligne d'actes administratifs contenant des données personnelles relatives à un litige, au-delà des délais légaux et sans occultation, constitue une violation du principe de minimisation, même au nom de la transparence.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la Commune de San Nicandro Garganico (comprenant le prononcé d'une amende de XX €) pour des manquements en lien avec la diffusion de données personnelles sur son site internet et la communication des coordonnées de son délégué à la protection des données.

L'affaire trouve son origine dans la plainte d'une personne concernant la publication en ligne de ses données personnelles dans des actes administratifs de la commune.

Motifs de la décision

• Obligation de minimisation des données (article 5, paragraphe 1, point c), du RGPD) : L'autorité a constaté que la commune avait diffusé en ligne le nom du plaignant et des informations relatives à une procédure judiciaire le concernant dans une délibération du conseil municipal et une détermination administrative. Cette diffusion a été jugée non conforme au principe de minimisation, car les données n'étaient pas limitées à ce qui était nécessaire. L'autorité a rappelé, en se référant à ses Lignes directrices n. 243 du 15/5/2014, que l'existence d'une obligation de publication n'exempte pas de l'obligation de sélectionner les données et d'occulter les informations non pertinentes, comme le nom des parties dans un litige, le numéro de rôle de l'affaire étant suffisant.
• Obligation de licéité du traitement (article 5, paragraphe 1, point a) et article 6 du RGPD) : Le maintien des documents sur le site internet au-delà du délai légal de publication de quinze jours, prévu par la législation nationale pour le tableau d'affichage officiel, a été considéré comme une diffusion illicite. L'autorité a estimé qu'en l'absence de base légale justifiant cette conservation en ligne sous une forme non anonymisée après l'expiration de ce délai, le traitement était contraire aux principes de licéité.
• Obligation de communiquer les coordonnées du délégué à la protection des données (article 37, paragraphe 7, du RGPD) : L'autorité a relevé que la commune n'avait pas communiqué la mise à jour des coordonnées de son délégué à la protection des données (DPD) via la procédure prévue. L'argument d'une erreur interne a été écarté, l'autorité rappelant que l'obligation de notification incombe au responsable du traitement en vertu du principe de responsabilité (articles 5, paragraphe 2, et 24 du RGPD), qui doit mettre en place les mesures adéquates pour garantir et démontrer la conformité.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de XX € à la Commune de San Nicandro Garganico.

Enseignements

Cette décision rappelle que :

• L'obligation de transparence imposée aux organismes publics ne prévaut pas automatiquement sur le principe de minimisation des données. Il est impératif d'évaluer, au cas par cas, la nécessité de publier des données personnelles et de procéder à leur occultation si elles ne sont pas indispensables à l'objectif de transparence.
• La licéité de la diffusion de données personnelles en ligne peut être limitée dans le temps. Une fois le délai légal de publication expiré, le maintien en accès libre de documents contenant des données personnelles identifiantes, sans base légale spécifique, constitue un traitement illicite.
• La communication des coordonnées du DPD à l'autorité de contrôle est une obligation formelle du responsable du traitement. Se prévaloir d'une défaillance organisationnelle interne pour justifier un manquement est inopérant au regard du principe de responsabilité.