La publication d'un fichier de classement pour des bourses d'études, contenant des données personnelles excessives dans des colonnes masquées, a été jugée illicite par l'autorité italienne de protection des données, qui a souligné la mauvaise interprétation de la législation sur la transparence par l'organisme.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la fondation "Rome Technopole" (comprenant le prononcé d'une amende de 8 000 €) pour des manquements en lien avec la diffusion illicite de données personnelles de lauréats de bourses d'études.

L'affaire trouve son origine dans la plainte d'un étudiant ayant découvert que la publication d'un classement révélait, via des colonnes masquées dans un fichier tableur, de nombreuses données personnelles concernant 480 lauréats.

Motifs de la décision

• Obligation de licéité, de loyauté, de transparence et de minimisation des données (articles 5 et 6 du RGPD) : L'autorité a constaté que la fondation avait publié sur son site internet un fichier contenant des données détaillées sur 480 lauréats, incluant l'adresse de résidence, le code fiscal, la date de naissance, l'adresse électronique, le numéro de pièce d'identité et les coordonnées bancaires (IBAN). La fondation a invoqué une obligation légale de transparence découlant du Décret Législatif n° 33/2013. L'autorité a rejeté cet argument en précisant que la disposition citée (article 19) concerne les concours pour le recrutement de personnel et non l'octroi de bourses d'études. Elle a ajouté que, même si cette base juridique avait été applicable, elle n'aurait autorisé la publication que du nom, du prénom, de la date de naissance (en cas d'homonymie) et du classement, rendant la diffusion des autres données manifestement excessive et non conforme au principe de minimisation.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 8 000 € à la fondation "Rome Technopole".

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision rappelle que :

• Une obligation légale de transparence doit être interprétée strictement et ne peut servir de fondement à la publication de données si le champ d'application de la norme n'est pas respecté (en l'espèce, une loi sur le recrutement de personnel ne s'applique pas à l'octroi de bourses).
• Même lorsqu'une publication est légalement requise, le principe de minimisation impose de ne diffuser que les données strictement nécessaires à l'objectif de transparence, en excluant les informations excessives comme les coordonnées bancaires ou le numéro de pièce d'identité.
• Le masquage de colonnes dans un tableur ne constitue pas une mesure technique ou organisationnelle adéquate pour protéger les données ; les fichiers destinés à la publication doivent être des extraits distincts des fichiers de travail internes et ne contenir que les données minimisées.