L'autorité italienne de protection des données (GPDP) sanctionne une administration régionale pour avoir communiqué par erreur la fiche d'évaluation d'une ancienne employée à son nouvel employeur, considérant que ni les mesures de protection apposées sur l'envoi, ni l'absence de préjudice concret, ne suffisent à écarter la violation du principe de licéité.

Faits et contexte

L'autorité italienne de protection des données (GPDP) a aujourd'hui publié une décision de sanction à l'encontre de la Région Autonome de Sardaigne, comprenant le prononcé d'une amende de 3 000 €, pour des manquements en lien avec la communication non autorisée de données personnelles d'une ancienne employée.

L'affaire trouve son origine dans la plainte d'une ancienne agente concernant deux incidents distincts de communication de ses données dans le cadre de son rapport de travail.

Motifs de la décision

L'autorité a d'abord analysé la transmission d'une note relative à une sanction disciplinaire à plusieurs services internes de la Région. Elle a conclu à l'absence de manquement sur ce point, estimant que les services destinataires étaient légitimes à traiter ces informations au vu de leurs fonctions respectives (gestion de la paie, évaluation, suivi du personnel) et de l'organisation interne de l'administration. Les destinataires étaient donc considérés comme des personnes autorisées au sens de l'article 29 du RGPD.

En revanche, l'autorité a retenu un manquement concernant le second incident, qui portait sur la transmission de la fiche d'évaluation de la performance de la plaignante à son nouvel employeur.

• Obligation de licéité, loyauté et transparence (article 5, paragraphe 1, point a) du RGPD) et de disposer d'une base juridique (article 6 du RGPD) : L'autorité a constaté que la Région, en réponse à une demande d'accès aux documents de la plaignante, avait envoyé par erreur sa fiche d'évaluation de performance non seulement à l'intéressée, mais aussi à l'administration qui venait de la recruter. Cette transmission a été qualifiée de communication de données à un tiers non autorisé, dépourvue de toute base juridique. L'autorité a rejeté les arguments de la Région, précisant que ni l'apposition de la mention "Personnel et confidentiel" sur l'envoi, ni les mesures de confinement prises après coup, ni même le fait que le système de gestion documentaire du destinataire limitait l'accès interne, ne pouvaient effacer le caractère illicite de la communication initiale. Le GPDP a également rappelé que la réglementation en matière de protection des données repose sur une logique de prévention du risque, et que l'absence de préjudice concret subi par la personne concernée ne constitue pas une condition pour constater une violation.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 3 000 € à la Région Autonome de Sardaigne.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision confirme que :

• L'accès aux données des employés au sein d'une organisation doit être strictement limité aux personnes dont les fonctions et les missions spécifiques justifient un tel accès, sur la base du principe du besoin d'en connaître.


• La communication de données personnelles d'un employé à un tiers, tel qu'un nouvel employeur, constitue une violation si elle n'est pas fondée sur une base juridique valable, même si elle résulte d'une erreur humaine.


• Les mesures techniques ou organisationnelles visant à limiter les conséquences d'une communication illicite (par exemple, une mention de confidentialité ou des actions de confinement post-incident) peuvent être prises en compte pour atténuer la sanction, mais n'annulent pas la violation initiale.


• Une violation des principes du RGPD peut être sanctionnée sur la base du risque qu'elle engendre pour les droits et libertés des personnes, sans qu'il soit nécessaire de démontrer l'existence d'un préjudice matériel ou moral effectif.