L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de Formez PA - Centre de services, d'assistance, d'études et de formation pour la modernisation des administrations publiques, comprenant le prononcé d'une amende de 15 000 €, pour des manquements à ses obligations en tant que sous-traitant. Cette affaire débute par deux plaintes concernant la publication en ligne d'une liste de classement d'un concours public contenant des données personnelles jugées excessives, notamment le code fiscal des participants.

L’enquête menée par l’autorité a permis de constater :
* Obligation du sous-traitant de ne traiter les données que sur instruction documentée du responsable du traitement (article 28, paragraphe 3, du RGPD) : Formez PA, agissant en tant que sous-traitant pour le Ministère des Entreprises et du Made in Italy, a publié sur son site internet la liste de classement d'un concours. Cette liste, concernant 133 personnes (lauréats et candidats éligibles), contenait des données excessives telles que le code fiscal, le détail des notes et la mention de l'existence de causes de "préférence/priorité". L'autorité a estimé que bien que le contrat de sous-traitance prévoyait le respect du principe de minimisation, Formez PA a diffusé des données non nécessaires et non pertinentes au regard des finalités de transparence. En tant que prestataire spécialisé, il aurait dû informer le responsable du traitement du caractère non conforme de la publication, au lieu de procéder à une diffusion qui contrevenait aux instructions contractuelles de minimisation et aux principes du RGPD.

En conséquence, la structure s'est vue sanctionner de l'amende mentionnée ci-dessus.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.