L'autorité de protection des données italienne sanctionne un organisme de santé pour la publication en ligne de données judiciaires sans base légale et pour ne pas avoir effectivement effacé ces données suite à la demande de la personne concernée, celles-ci étant restées accessibles par inadvertance dans une autre section du site.

Faits et contexte

L'autorité de protection des données italienne, le Garant pour la protection des données personnelles (GPDP), a aujourd'hui publié une décision de sanction à l'encontre de l'Agence Sanitaire Provinciale d'Enna (comprenant le prononcé d'une amende de 20 000 €) pour des manquements en lien avec la diffusion illicite de données judiciaires et le non-respect d'une demande d'effacement.

L'affaire trouve son origine dans la plainte d'une personne physique concernant la publication en ligne, dans une délibération administrative, de données relatives à des procédures judiciaires la concernant.

Motifs de la décision

L'autorité a retenu plusieurs violations du RGPD à l'encontre de l'organisme :

• Obligation de licéité, loyauté, transparence et de minimisation des données (article 5 du RGPD) : L'autorité a jugé que la publication de données judiciaires dans une délibération en ligne, sans justification nécessaire, violait le principe de minimisation. La diffusion de ces informations, non pertinentes au regard de la finalité de la publication de l'acte, était également contraire aux principes de licéité et de loyauté, comme le rappellent les lignes directrices du GPDP de 2014 sur la transparence des administrations publiques.
• Obligation de disposer d'une base juridique pour le traitement (article 6 du RGPD) : L'autorité a constaté que l'organisme public n'a pas pu démontrer l'existence d'une base juridique valable, telle qu'une obligation légale ou une mission d'intérêt public, qui aurait autorisé spécifiquement la diffusion de ces données personnelles sur son site internet.
• Interdiction du traitement de données relatives aux condamnations pénales et aux infractions (article 10 du RGPD) : Le traitement de données judiciaires est strictement encadré et ne peut être effectué que sous le contrôle de l'autorité publique ou s'il est autorisé par une norme de droit de l'Union ou d'un État membre. L'autorité a conclu que l'organisme a diffusé ces données sensibles en l'absence de toute disposition légale ou réglementaire l'y autorisant.
• Obligation de respecter le droit à l'effacement (article 17 du RGPD) : Bien que l'organisme ait affirmé avoir supprimé les données suite à la demande du plaignant, celles-ci sont restées accessibles par inadvertance dans une autre section du site. L'autorité a estimé que cette suppression partielle et inefficace constituait un manquement à l'obligation d'effacer les données sans retard injustifié, le traitement initial étant illicite au sens de l'article 17, paragraphe 1, point d).

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 20 000 € à l'Agence Sanitaire Provinciale d'Enna.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision rappelle que :

• Une demande d'effacement n'est considérée comme satisfaite que si les données sont supprimées de tous les emplacements où elles ont été publiées ; une suppression partielle, même par inadvertance, constitue une violation du droit de la personne concernée.
• La publication de documents par un organisme public sur son site internet doit reposer sur une base juridique spécifique autorisant la diffusion des données personnelles qu'ils contiennent, et non sur la seule obligation de publication de l'acte administratif lui-même.
• La diffusion en ligne de données relatives à des condamnations pénales ou à des infractions est soumise à des conditions particulièrement strictes et ne peut intervenir qu'en présence d'une disposition légale ou réglementaire explicite l'autorisant.
• Le principe de responsabilité impose au responsable de traitement de vérifier activement la pertinence et la nécessité de publier chaque donnée personnelle contenue dans un document administratif, en appliquant systématiquement le principe de minimisation avant toute mise en ligne.