L'envoi d'un courriel à de multiples destinataires en laissant leurs adresses visibles constitue une communication de données personnelles non autorisée, violant les principes de licéité et de minimisation, même en l'absence d'intention malveillante et lorsque les données ne sont pas sensibles.

Faits et contexte

L'autorité italienne de protection des données (Garante) a aujourd'hui publié une décision de sanction à l'encontre de la Fédération Nationale des Ordres des Biologistes (FNOB) (comprenant le prononcé d'une amende de 2 000 €) pour des manquements en lien avec la communication non autorisée d'adresses de courriel.

L'affaire trouve son origine dans la plainte d'une biologiste ayant reçu, à deux reprises les 21 et 24 juillet 2025, des courriels de la Fédération dont tous les destinataires étaient visibles.

Motifs de la décision

L'autorité a retenu que la Fédération, en envoyant des courriels collectifs sans masquer les adresses des destinataires, a procédé à une communication de données personnelles en l'absence de base juridique et en violation des principes fondamentaux du RGPD.

• Obligation de licéité, loyauté et transparence (article 5, paragraphe 1, point a) du RGPD) : L'autorité rappelle sa position constante, établie notamment dans ses lignes directrices de 2013, selon laquelle l'envoi d'un message électronique avec une liste de diffusion visible constitue une communication de données personnelles (les adresses de courriel) à des tiers (les autres destinataires). En l'espèce, chaque destinataire a eu connaissance de l'adresse de courriel des autres. Cette communication, bien que résultant d'une erreur matérielle, a été effectuée de manière illicite et non transparente à l'égard des personnes concernées.

• Obligation de disposer d'une base juridique pour le traitement (article 6 du RGPD) : Le traitement de données par un organisme public n'est licite que s'il est nécessaire à l'exécution d'une obligation légale ou d'une mission d'intérêt public. L'autorité souligne que, conformément au considérant 41 du RGPD, la base juridique d'un tel traitement doit être claire, précise et prévisible pour les personnes concernées. Or, aucune disposition légale ou réglementaire n'autorisait la Fédération à communiquer les adresses de courriel de ses membres entre eux. La communication litigieuse n'était donc fondée sur aucune base juridique valable au sens des articles 6, paragraphe 1, points c) et e) du RGPD et de l'article 2-ter du Code italien de protection des données.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 000 € à la Fédération Nationale des Ordres des Biologistes.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet, en raison du nombre élevé de destinataires concernés par la communication.

Enseignements

Cette décision rappelle que :

• L'envoi d'un courriel collectif avec les adresses des destinataires visibles dans le champ "À" ou "Cc" constitue une communication de données personnelles à des tiers, et non une simple erreur de manipulation.

• Une telle communication de données, même si elle résulte d'une erreur humaine, doit reposer sur une base juridique valable au sens de l'article 6 du RGPD, ce qui est rarement le cas pour la divulgation d'une liste de destinataires.

• La simple erreur humaine n'est pas une excuse exonératoire ; les responsables de traitement doivent mettre en œuvre des mesures techniques et organisationnelles (comme des listes de diffusion ou des formations sur l'usage du champ "Cci") pour prévenir ce type d'incident courant.