L'autorité italienne sanctionne un hôpital pour avoir publié en ligne la liste complète des candidats, y compris ceux jugés non aptes, à une procédure de recrutement. Elle juge que l'obligation de transparence applicable aux concours publics ne s'étend pas à ce type de sélection et que la publication était donc dépourvue de base légale, violant les principes de licéité et de minimisation.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de l'Hôpital Universitaire de Bologne IRCCS pour des manquements liés à la publication illicite de données personnelles de candidats dans le cadre d'une procédure de recrutement.

L'affaire trouve son origine dans la plainte d'une candidate dont les données personnelles, y compris un jugement de non-aptitude, ont été publiées sur le site internet de l'hôpital et indexées par les moteurs de recherche.

Motifs de la décision

L'autorité a retenu plusieurs violations du RGPD, en se fondant sur le raisonnement suivant :

• Obligation de licéité du traitement (article 6 du RGPD) : L'autorité a jugé que la publication en ligne de la liste des candidats aptes et inaptes était dépourvue de base légale. L'hôpital a invoqué à tort l'article 19 du décret législatif n° 33/2013 sur la transparence, car cette disposition ne s'applique qu'aux concours publics et impose uniquement la publication des listes finales des lauréats. Or, la procédure en cause était une sélection de personnel inscrit sur les listes des agences pour l'emploi, qui ne constitue pas un concours public au sens de la loi précitée. La diffusion des données de tous les participants, en particulier des candidats non retenus, n'était donc prévue par aucune disposition légale.
• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : En diffusant les noms de tous les participants, y compris ceux jugés inaptes, l'hôpital a traité des données qui n'étaient pas adéquates, pertinentes et limitées à ce qui était nécessaire au regard des finalités de transparence. L'autorité rappelle, en s'appuyant sur ses lignes directrices en matière de transparence (provv. n° 243 du 15 mai 2014), que même lorsqu'un fondement juridique pour la publication existe, la diffusion des données des candidats non retenus est disproportionnée et non pertinente.
• Interdiction de traiter des catégories particulières de données (article 9 du RGPD) : Dans sa notification des griefs, l'autorité a relevé que la participation à cette procédure de sélection, issue des listes des agences pour l'emploi, pouvait être de nature à révéler indirectement des données relatives à la santé ou à une situation de vulnérabilité. Bien que l'hôpital ait contesté cette qualification, l'autorité a estimé que la publication de la liste complète, en l'absence de base légale adéquate, créait un risque de divulgation d'informations sensibles.

Décision de l'autorité

En conséquence, l'autorité a imposé une sanction à l'Hôpital Universitaire de Bologne IRCCS, dont le montant n'est pas précisé dans la décision publiée.

Enseignements

Cette décision rappelle que :

• Les obligations de publication en matière de transparence administrative doivent être interprétées de manière stricte et ne peuvent être étendues par analogie à des procédures de recrutement non explicitement visées par la loi, comme la sélection sur la base des listes des agences pour l'emploi.
• La publication des résultats d'une procédure de sélection doit respecter le principe de minimisation : seuls les noms des candidats retenus doivent être diffusés, et uniquement si une base légale spécifique le prévoit, à l'exclusion des candidats jugés inaptes ou non retenus.
• Le contexte d'un traitement, tel qu'une procédure de recrutement réservée à des personnes inscrites sur des listes spécifiques, peut indirectement révéler des informations sensibles sur les personnes concernées, ce qui impose une vigilance accrue quant à la licéité et aux modalités de toute publication.