L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre du ministère de l'Économie et des Finances, comprenant le prononcé d'une amende de 12 000 €, pour des manquements liés à la diffusion de données de candidats à un concours public et à une surveillance insuffisante de son sous-traitant. Cette affaire débute par la plainte d'une candidate craignant que la publication de son nom en tant que personne exemptée de l'épreuve de présélection ne révèle indirectement son état de santé.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité, loyauté et transparence du traitement (article 5, paragraphe 1, point a) et article 6, paragraphe 1, points c) et e) du RGPD) : Le ministère, en tant que responsable du traitement, a diffusé via son sous-traitant, Formez PA, les listes nominatives de plus de 300 candidats admis aux épreuves écrites d'un concours. L'autorité a jugé cette publication illicite car la réglementation sectorielle n'autorise la publication que des classements finaux des lauréats, et non les résultats d'épreuves intermédiaires. La mise en ligne de ces données sur un site web accessible à tous, via un lien sur le site du ministère, constituait une diffusion de données personnelles sans base juridique appropriée.

* Obligations relatives à la sous-traitance (article 28, paragraphe 3 du RGPD) : Le ministère n'a pas exercé une surveillance adéquate sur son sous-traitant. Bien que la convention prévoyait un accès restreint aux résultats pour les candidats, le sous-traitant les a publiés sur un site public. L'autorité a conclu que l'insuffisance de la surveillance et l'inadéquation des mesures de vérification de l'action du sous-traitant constituaient une violation, le ministère n'étant intervenu pour faire retirer les données qu'après le début de l'enquête.

En conséquence, l’autorité a imposé une amende de 12 000 € au ministère de l'Économie et des Finances.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.