La publication d'une décision administrative mentionnant le numéro de matricule et le motif de la rupture du contrat de travail d'un agent public, même en l'absence de son nom, constitue une diffusion illicite de données personnelles, car l'agent reste identifiable par le contexte.

Faits et contexte

L'autorité italienne de protection des données (Garante) a aujourd'hui publié une décision de sanction à l'encontre de la commune de Villaputzu (comprenant le prononcé d'une amende de 2 000 €) pour des manquements en lien avec la publication en ligne de données personnelles d'un de ses agents.

L'affaire trouve son origine dans la plainte d'un agent de la commune, qui a dénoncé la publication sur le site internet de celle-ci d'une décision contenant son numéro de matricule et le motif de la fin de son contrat de travail suite à une période d'essai non concluante.

Motifs de la décision

L'autorité a retenu les manquements suivants :

• Obligation de licéité, de loyauté, de transparence et de minimisation des données (article 5, paragraphe 1, points a) et c) du RGPD) : L'autorité a jugé que la publication de la décision administrative était non conforme à ces principes. Elle a souligné que même en l'absence du nom de l'agent, celui-ci était facilement identifiable par son numéro de matricule combiné aux informations contextuelles (petite commune, motif de la rupture de contrat). L'indication du numéro de matricule était d'autant plus superflue que la décision mentionnait un annexe non publié contenant les nom et prénom de la personne concernée, démontrant un défaut de minimisation des données.
• Obligation de disposer d'une base juridique pour le traitement (article 6 du RGPD et article 2-ter du Code italien) : La commune n'a pas pu démontrer l'existence d'une disposition légale ou réglementaire spécifique l'autorisant à diffuser des données personnelles relatives à la rupture d'un contrat de travail. L'autorité a rappelé que les obligations générales de publicité des actes administratifs, notamment celles prévues par l'article 124 du décret législatif 267/2000, ne constituent pas une base juridique suffisante pour déroger aux principes de protection des données et ne sauraient justifier une diffusion en ligne de telles informations.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 2 000 € à la commune de Villaputzu.

Enseignements

Cette décision confirme que :

• Un numéro de matricule, associé à des informations contextuelles (comme le motif d'une décision ou la taille de l'entité), ne constitue pas une mesure d'anonymisation et permet l'identification d'une personne, rendant le traitement soumis au RGPD.
• Les obligations légales générales de publication des actes administratifs ne créent pas d'automatisme et ne peuvent servir de base juridique pour la diffusion en ligne de données personnelles, laquelle doit être prévue par une disposition spécifique et respecter le principe de minimisation.
• Avant toute publication, le responsable de traitement doit évaluer la nécessité de chaque donnée personnelle incluse dans le document et s'assurer qu'aucune information superflue n'est diffusée, conformément aux principes de protection des données dès la conception et par défaut.
• La bonne foi ou la conviction erronée d'agir en conformité avec la loi n'exonère pas le responsable de traitement de sa responsabilité en cas de manquement, bien que cela puisse être pris en compte comme facteur atténuant dans la détermination du montant de la sanction.