La publication en ligne de la liste des candidats admis à un concours réservé aux catégories protégées constitue une diffusion illicite de données de santé, même si l'information est indirecte, et engage la responsabilité du recruteur en tant que responsable du traitement.

Faits et contexte

L'autorité italienne de protection des données (Garante) a aujourd'hui publié une décision de sanction à l'encontre de la commune de Ventasso (comprenant le prononcé d'une amende de 8 000 €) pour des manquements en lien avec la diffusion de données de santé dans le cadre d'une procédure de recrutement.

L'affaire trouve son origine dans une plainte et un signalement de l'Autorité Nationale Anticorruption (ANAC) concernant la publication en ligne de la liste des candidats admis à un concours réservé aux catégories protégées.

Motifs de la décision

Préalablement, l'autorité a écarté l'argument de la commune qui tentait de transférer la responsabilité à l'Union montagnarde des communes de l'Apennin reggian, chargée de la gestion de la procédure. Se fondant sur les lignes directrices 07/2020 du Comité européen de la protection des données (CEPD), l'autorité a rappelé que la qualification de responsable du traitement découle des circonstances factuelles et non d'une simple désignation contractuelle (paragraphes 12 et 28). En l'espèce, la commune, en tant qu'employeur final et initiateur du recrutement pour ses propres besoins, est bien le responsable du traitement (paragraphe 27 des lignes directrices).

• Interdiction de diffuser des données relatives à la santé (article 9 du RGPD) : L'autorité a jugé que la publication de la liste nominative des candidats admis à une procédure de sélection réservée aux catégories protégées en vertu de la loi n° 68/1999 révélait indirectement des informations sur leur état de santé. Cette diffusion de données de santé, qui sont des données de catégorie particulière au sens du considérant 35 du RGPD, est formellement interdite par l'article 2-septies, paragraphe 8, du Code italien de protection des données, sans qu'aucune exception ne soit applicable.
• Obligation de disposer d'une base juridique pour le traitement (article 6 du RGPD) : La publication de la liste des candidats admis à l'épreuve écrite, un acte intermédiaire de la procédure, n'était prévue par aucune disposition légale. Les obligations de transparence administrative (décret législatif n° 33/2013) imposent la publication des avis de concours et des classements finaux, mais pas des listes intermédiaires. Le traitement était donc dépourvu de base juridique valable au regard de l'article 6 du RGPD et de l'article 2-ter du Code italien.
• Respect des principes de protection des données (article 5 du RGPD) : En conséquence des manquements précédents, l'autorité a conclu à une violation du principe de "licéité, loyauté et transparence" (article 5, paragraphe 1, point a)). De plus, la diffusion de l'identité de tous les candidats admis a été jugée contraire au principe de "minimisation des données" (article 5, paragraphe 1, point c)), car elle n'était pas nécessaire au regard des finalités de la procédure.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 8 000 € à la commune de Ventasso.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision rappelle que :

• L'employeur qui initie une procédure de recrutement pour ses propres besoins reste le responsable du traitement, même si la gestion opérationnelle est déléguée à une autre entité publique, qui agit alors en tant que sous-traitant.
• La publication d'une liste de participants à un concours exclusivement réservé à des catégories protégées (personnes en situation de handicap) constitue une diffusion de données de santé, même si l'information est indirecte.
• La diffusion de données relatives à la santé est soumise à une interdiction de principe, qui ne peut être levée par des obligations générales de transparence administrative non spécifiques.
• Les obligations de transparence dans le cadre des concours publics ne justifient pas la publication des listes intermédiaires de candidats (admis, non-admis), mais se limitent généralement aux actes finaux comme les classements définitifs.