L'autorité espagnole a déclaré une commune en infraction pour avoir divulgué à la presse des informations sur la situation administrative d'une employée, estimant que celle-ci était identifiable même sans que son nom soit cité, en raison du caractère unique de son poste.

Faits et contexte

L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision déclarant une infraction à l'encontre de la commune de ***LOCALIDAD.1 pour un manquement lié à la divulgation d'informations personnelles d'une employée à la presse.

L'affaire trouve son origine dans la plainte d'une employée de la commune, unique titulaire de son poste, suite à la publication dans un journal d'informations sur son congé et ses motifs, qui auraient été fournies par son employeur.

Motifs de la décision

• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté que la commune avait communiqué à un journal des informations concernant le congé d'une de ses employées. Bien que le nom de la personne n'ait pas été mentionné, l'AEPD a estimé qu'elle était clairement identifiable car elle était la seule à occuper son poste au sein de la commune. En s'appuyant sur la définition large des données à caractère personnel, l'autorité a conclu que la combinaison d'informations (poste unique, situation de congé, commune de moins de 40 000 habitants) permettait d'individualiser la plaignante. Par conséquent, la divulgation de ces informations, qui exposaient des aspects de sa vie privée non indispensables, a constitué une violation de l'obligation de garantir la confidentialité des données.

Décision de l'autorité

En conséquence, l'autorité a déclaré que la commune de ***LOCALIDAD.1 a enfreint l'article 5, paragraphe 1, point f) du RGPD.

En outre, l'autorité a ordonné à la commune d'adopter, dans un délai de trois mois, les mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité des données personnelles qu'elle traite.

Enseignements

Cette décision rappelle que :

• Une personne physique peut être considérée comme "identifiable" même si son nom n'est pas divulgué, dès lors qu'un faisceau d'indices (tel que le caractère unique d'un poste et un contexte spécifique) permet de l'individualiser sans effort déraisonnable.
• La communication par un employeur, y compris public, à des tiers d'informations relatives à la situation administrative d'un agent constitue une violation du principe de confidentialité si ces informations ne sont pas strictement nécessaires et pertinentes.
• Les organismes publics ne sont pas systématiquement soumis à des amendes administratives en Espagne ; l'autorité de contrôle peut prononcer une déclaration d'infraction et imposer des mesures correctrices contraignantes.