La publication par une commune d'une décision nominative relative à la démission d'un employé, sans base légale spécifique, constitue une diffusion illicite de données personnelles en violation des principes de licéité et de minimisation.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a publié une décision de sanction à l'encontre de la commune de Sciacca, comprenant le prononcé d'une amende de 6 000 €, pour des manquements en lien avec la publication en ligne de données personnelles d'un ancien employé.

L'affaire trouve son origine dans la plainte d'un ancien employé de la commune, qui a contesté la publication sur le site internet institutionnel d'une décision administrative le concernant, intitulée "Accusé de réception de la démission volontaire et quantification de l'indemnité compensatrice de préavis de l'employé XX".

Motifs de la décision

L'autorité a retenu les manquements suivants à l'encontre de la commune :

• Obligation de licéité et de disposer d'une base légale (article 5, paragraphe 1, point a) du RGPD et article 6, paragraphe 1, points c) et e) du RGPD) : L'autorité a jugé que la publication de la décision constituait une diffusion de données personnelles en l'absence de base légale appropriée. La commune invoquait une loi régionale pour justifier la publication, mais l'autorité a estimé que cette disposition était trop générique et ne prévoyait pas spécifiquement l'obligation de publier des actes relatifs à la démission d'un employé. Elle a rappelé que les obligations de transparence pour les administrations publiques sont strictement définies par des textes spécifiques et ne permettent pas de diffuser des données personnelles supplémentaires non prévues par ces derniers.
• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a souligné que, même en présence d'une obligation légale de publication, le responsable de traitement doit s'assurer de ne diffuser que les données strictement nécessaires. En l'espèce, la publication du nom et du prénom de l'employé dans l'objet même de l'acte, le rendant directement identifiable, était excessive. L'occultation de sa date et de son lieu de naissance était jugée insuffisante, car l'identité de la personne concernée et les détails de la cessation de son contrat de travail restaient publics, en violation du principe de minimisation, tel que précisé dans les "Lignes directrices en matière de traitement de données personnelles, contenues également dans des actes et documents administratifs, effectué à des fins de publicité et de transparence sur le web par des entités publiques et d'autres entités obligées" de 2014.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 6 000 € à la commune de Sciacca.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision confirme que :

• Une obligation légale générale de transparence ne constitue pas une base juridique suffisante pour la diffusion en ligne de données personnelles détaillées concernant la gestion du personnel.
• La publication d'informations relatives à la cessation d'un rapport de travail, incluant le nom de l'employé, doit reposer sur une disposition légale ou réglementaire spécifique et explicite.
• Le principe de minimisation impose aux entités publiques de vérifier systématiquement la pertinence des données personnelles avant toute publication, même si un acte doit être rendu public, et d'occulter toute information non indispensable.
• L'anonymisation partielle d'un document est inefficace si la personne concernée reste directement ou indirectement identifiable par d'autres informations, comme son nom complet dans le titre de l'acte.
• Le recours à des processus de publication automatisés ne décharge pas le responsable de traitement de son obligation de vérifier la conformité de chaque traitement au RGPD.