L'envoi d'un courriel à de multiples destinataires avec leurs adresses personnelles visibles constitue une communication de données à des tiers non autorisés, et donc une violation de données, même si elle résulte d'une simple erreur humaine.

Faits et contexte

L'autorité italienne de protection des données (Garante) a publié une décision prononçant un avertissement à l'encontre de l'Institut Omnicomprehensif École Européenne de Brindisi pour des manquements liés à la communication non autorisée d'adresses de courriel personnelles de ses employés.

L'affaire trouve son origine dans la plainte d'un membre du personnel technico-administratif de l'institut, qui a signalé que les adresses de courriel personnelles de nombreux destinataires étaient visibles dans un envoi groupé.

Motifs de la décision

L'autorité a retenu les manquements suivants à l'encontre de l'établissement scolaire :

• Obligation de licéité, loyauté et transparence (article 5, paragraphe 1, point a) du RGPD) et de disposer d'une base juridique pour le traitement (article 6, paragraphes 1, points c) et e) du RGPD) : L'institut a envoyé, le 12 avril 2025, un courriel concernant les élections des représentants syndicaux unitaires (RSU) à quarante-trois employés et sept organisations syndicales. Les adresses de courriel personnelles de tous les destinataires étaient inscrites en clair dans le champ "À:", les rendant visibles par chacun. L'autorité a qualifié cette divulgation de communication de données personnelles à des tiers, effectuée en l'absence de base juridique appropriée. Bien que l'institut ait invoqué une erreur humaine non intentionnelle dans un contexte de surcharge de travail, l'autorité a conclu que cette erreur a entraîné un traitement illicite. L'autorité a cependant écarté la qualification de violation de l'article 9 du RGPD, initialement envisagée, car la communication était adressée à l'ensemble du personnel en tant qu'électeurs potentiels et non à un groupe restreint de syndiqués, ne permettant donc pas de déduire une appartenance syndicale.

Décision de l'autorité

En conséquence, l'autorité a prononcé un avertissement à l'encontre de l'Institut Omnicomprehensif École Européenne de Brindisi, en application de l'article 58, paragraphe 2, point b) du RGPD.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision rappelle que :

• L'envoi de communications groupées par courriel en inscrivant les adresses des destinataires dans les champs "À" ou "Cc" au lieu de "Cci" constitue une communication de données à des tiers non autorisée, et donc une violation des principes de licéité et de minimisation.
• La coopération avec l'autorité de contrôle et la mise en œuvre rapide de mesures correctrices (formation du personnel, demande de suppression du courriel, modification des procédures) sont des facteurs déterminants pour atténuer la sanction, pouvant permettre d'éviter une amende au profit d'un simple avertissement, même lorsque la violation est avérée.
• La communication d'informations relatives à des élections syndicales à l'ensemble du personnel (collège électoral) ne révèle pas nécessairement l'appartenance syndicale des destinataires et n'implique donc pas systématiquement un traitement de données de catégorie particulière au sens de l'article 9 du RGPD.