L'autorité italienne de protection des données (GPDP) a publié une décision à l'encontre du Ministère de la Justice pour des manquements liés à la publication des résultats des épreuves écrites d'un concours de notaires.

Faits et contexte

L'affaire a débuté suite à des articles de presse concernant la divulgation d'un document contenant la liste des lauréats d'un concours de notaires, assortie de commentaires personnels sur certains candidats. L'enquête de l'autorité s'est cependant concentrée sur les modalités de publication des résultats par le Ministère lui-même.

Motifs de la décision

• Obligation de licéité, loyauté et transparence (article 5, paragraphe 1, point a) du RGPD) et de disposer d'une base juridique pour le traitement (article 6 du RGPD) : Le Ministère a publié une liste contenant les noms des candidats admis et non admis, alors que la réglementation sectorielle applicable (décret royal n° 1326 de 1914) n'autorise que l'affichage de la liste des candidats admis à l'épreuve orale. De plus, la mise à disposition de cette liste sur une table dans un hall d'entrée accessible à tous, avant les contrôles de sécurité, a constitué une "diffusion" de données personnelles non prévue par la loi. L'autorité a jugé que ce traitement, excédant le cadre légal tant sur le contenu que sur les modalités de publication, était dépourvu de base juridique valable au sens des articles 6, paragraphe 1, points c) et e) du RGPD et 2-ter du Code italien de protection des données, et rappelle que la base juridique doit être claire, précise et prévisible pour les personnes concernées (considérant 41 du RGPD).
• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : La liste publiée contenait des informations non nécessaires à la finalité de publication des résultats, telles que la date de naissance des candidats, des numéros de dossier et d'enveloppe, ainsi que le détail des notes obtenues pour chaque épreuve et le score total. L'inclusion de ces données supplémentaires a été jugée excessive et non conforme au principe de minimisation.

Décision de l'autorité

En conséquence, l'autorité a déclaré illicite le traitement de données personnelles mis en œuvre par le Ministère de la Justice et l'a condamné à payer une amende de 20 000 euros.

Enseignements

Cette décision rappelle que :

• La publication des résultats d'un concours public doit se limiter strictement à ce que prévoit la base juridique applicable, notamment en ne diffusant pas les noms des candidats non admis si la loi ne le prescrit pas explicitement.
• Les informations publiées dans le cadre de procédures de sélection doivent être limitées au strict nécessaire pour atteindre l'objectif de transparence, en excluant les données non pertinentes comme la date de naissance complète ou des numéros de dossier internes.
• Les modalités de publication des résultats doivent garantir que seules les personnes ayant un intérêt légitime y aient accès ; laisser une liste en libre accès dans un lieu public constitue une diffusion illicite de données personnelles.