La communication proactive et généralisée des données relatives au licenciement disciplinaire d'un agent à de multiples entités administratives, en prévision d'une éventuelle future candidature de sa part, est jugée illicite et contraire au principe de minimisation, dès lors que la législation sectorielle prévoit un mécanisme de contrôle a posteriori fondé sur l'autodéclaration.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a publié une décision constatant des manquements à l'encontre du Ministère de l'instruction et du mérite pour la communication de données relatives au licenciement disciplinaire d'une employée.

L'affaire trouve son origine dans la plainte d'une employée du personnel administratif, technique et auxiliaire (ATA) du ministère, qui contestait la diffusion par courriel de son licenciement disciplinaire à de nombreuses entités administratives.

Motifs de la décision

L'autorité a retenu un manquement unique regroupant plusieurs violations :

• Violation des principes de licéité, loyauté et minimisation des données et absence de base juridique appropriée (article 5, paragraphe 1, points a) et c) et article 6 du RGPD) : Le Bureau des procédures disciplinaires de l'Office scolaire territorial de Monza et Brianza a communiqué par courriel le licenciement disciplinaire de la plaignante à tous les bureaux scolaires régionaux, à tous les établissements scolaires de son ressort, ainsi qu'aux bureaux internes chargés des classements, des nominations et des pensions. Cette communication mentionnait le nom, le prénom, le lieu et la date de naissance de l'agent, ainsi que la nature de la sanction et les références du provvedimento. Le ministère a justifié cette diffusion par la nécessité d'empêcher l'agent, licencié pour motif disciplinaire, de postuler à nouveau au sein de l'administration scolaire en omettant de déclarer sa situation, ce qui est une condition d'exclusion. L'autorité a rejeté cet argument, soulignant que le traitement de données par une autorité publique doit reposer sur une base juridique précise, conformément à l'article 6, paragraphe 1, points c) et e) du RGPD, et que la législation italienne (article 2-ter du Code de protection des données) encadre strictement la communication de données par des entités publiques. Or, le ministère n'a pu produire aucune disposition légale l'obligeant à diffuser préventivement cette information. Au contraire, les textes réglementaires qu'il invoque (D.P.R. n. 487/1994 et O.M. n. 21/2009) fondent la procédure de recrutement sur l'autodéclaration du candidat, l'administration se réservant le droit de vérifier a posteriori la véracité des déclarations, "même par échantillonnage" et "en cas de doute raisonnable". La communication systématique et généralisée, fondée sur la simple éventualité d'une future candidature frauduleuse, a donc été jugée sans base légale et disproportionnée, en violation des principes de licéité et de minimisation des données.

Décision de l'autorité

En conséquence, l'autorité a constaté que le traitement de données effectué par le Ministère de l'instruction et du mérite - Bureau scolaire régional pour la Lombardie était illicite, en violation des articles 5, paragraphe 1, points a) et c), et 6 du RGPD.

Enseignements

Cette décision rappelle que :

• La communication proactive et généralisée de données relatives à un licenciement disciplinaire à de multiples entités, même internes à la même administration, n'est pas justifiée par la simple éventualité qu'un agent puisse postuler à nouveau frauduleusement.
• Lorsqu'une procédure administrative repose sur un système d'autodéclaration suivi de contrôles a posteriori (même par échantillonnage), le responsable de traitement ne peut y substituer une communication préventive et systématique de données, qui serait contraire au principe de minimisation.
• La notion de "besoin d'en connaître" doit être interprétée strictement : la simple appartenance d'un bureau à la même administration ne lui confère pas un droit d'accès à toutes les données personnelles gérées par une autre entité de cette administration.