La publication en ligne de documents relatifs aux élections syndicales, y compris des pièces d'identité, constitue une diffusion illicite de données personnelles en l'absence de base juridique spécifique prévue par une norme législative, un accord collectif n'étant pas suffisant pour la créer.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a publié une décision de sanction à l'encontre de l'Institut d'enseignement supérieur Della Corte Vanvitelli pour des manquements liés à la diffusion en ligne de données personnelles de candidats aux élections syndicales.

L'affaire a débuté par une plainte de deux personnes concernant la publication sur le site de l'établissement, dans la section du tableau d'affichage syndical, de leurs formulaires de candidature et de leurs pièces d'identité, rendant ainsi publique leur appartenance syndicale.

Motifs de la décision

L'autorité a retenu un manquement unique regroupant plusieurs violations du RGPD.

• Obligation de licéité du traitement (articles 5, paragraphe 1, point a), 6 et 9 du RGPD) : L'autorité a constaté que l'établissement avait publié sur son site internet des documents relatifs à l'élection de la représentation syndicale unitaire, accessibles à tous. Ces documents contenaient le nom, le lieu et la date de naissance, l'adresse de résidence, la signature, ainsi que les copies des pièces d'identité des candidats, révélant de fait leur appartenance syndicale. Le Garante a rappelé que le traitement de données par un organisme public doit reposer sur une obligation légale ou l'exécution d'une mission d'intérêt public, conformément aux articles 6, paragraphe 1, points c) et e) du RGPD. La diffusion de données, en particulier, exige une base juridique spécifique dans le droit national (article 2-ter du Code italien de protection des données). Or, aucune disposition légale n'autorise la publication en ligne, à destination d'un public indifférencié, de tels documents. L'autorité a rejeté l'argument selon lequel un accord collectif pourrait constituer une base juridique suffisante, rappelant que, conformément au considérant 41 du RGPD et à sa jurisprudence constante, un tel accord ne peut introduire un nouveau traitement non prévu par la loi. La responsabilité de l'établissement a été retenue, bien que la publication ait été le fait d'une "erreur matérielle" d'un employé, le responsable du traitement demeurant tenu de superviser les personnes agissant sous son autorité.

Décision de l'autorité

En conséquence, l'autorité a prononcé une sanction à l'encontre de l'Institut d'enseignement supérieur Della Corte Vanvitelli.

Enseignements

Cette décision rappelle que :

• La diffusion de données personnelles par une entité publique, particulièrement lorsqu'il s'agit de données sensibles comme l'appartenance syndicale, doit impérativement reposer sur une base juridique claire et spécifique issue d'une norme législative ou réglementaire.
• Un accord collectif de travail ne peut constituer une base juridique autonome pour justifier un traitement de données, et notamment sa diffusion, si celui-ci n'est pas prévu par une disposition légale de rang supérieur.
• Le responsable du traitement est tenu pour responsable des violations commises par ses employés, même en cas d'erreur ou d'initiative individuelle excédant les instructions données, ce qui souligne l'importance de la supervision et de la formation du personnel autorisé.