L'autorité espagnole de protection des données (AEPD) a publié une décision constatant une infraction de l'Université Complutense de Madrid (UCM) pour des manquements en lien avec le principe de minimisation des données, suite à la divulgation de la condition de victime de violence de genre d'une candidate à une autre.

Faits et contexte

L'affaire trouve son origine dans la plainte d'une candidate à un processus de sélection, qui reprochait à l'université d'avoir révélé sa condition de victime de violence de genre, communiquée initialement pour obtenir une exonération de frais, dans une résolution notifiée à une autre candidate dans le cadre d'une procédure de réclamation.

Motifs de la décision

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : L'autorité a estimé que l'Université Complutense de Madrid a violé le principe de minimisation en communiquant à une tierce personne, une autre candidate, des données sensibles concernant la plaignante. L'autorité a jugé que si la collecte de l'information sur la condition de victime de violence de genre était légitime pour l'exonération des frais et l'évaluation de mesures d'action positive, son inclusion explicite, en associant le nom et le prénom de la plaignante, dans une résolution notifiée à une concurrente était excessive et non nécessaire. L'université aurait pu motiver sa décision en indiquant simplement que les conditions prévues par le règlement du concours n'étaient pas remplies, sans révéler la nature intime de la situation personnelle de la plaignante. L'argument de la transparence et du droit à la défense de l'autre candidate a été écarté, l'autorité considérant que ces droits ne justifient pas une divulgation de données sensibles lorsque des alternatives moins intrusives existent pour garantir la légalité du processus.

Décision de l'autorité

En conséquence, l'autorité a constaté une violation de l'article 5, paragraphe 1, point c) du RGPD par l'Université Complutense de Madrid.

En outre, l'autorité a ordonné à l'université de mettre ses opérations de traitement en conformité avec le principe de minimisation des données et de fournir la preuve des mesures adoptées dans un délai de trois mois.

Enseignements

Cette décision rappelle que :

• Le principe de minimisation doit être appliqué à chaque étape du traitement, y compris lors de la communication de décisions ; la collecte légitime d'une donnée ne justifie pas sa divulgation ultérieure si elle n'est pas strictement nécessaire.
• Le droit à la défense des tiers et le principe de transparence dans les procédures administratives ne sont pas absolus et ne sauraient légitimer la communication de données personnelles sensibles lorsque l'objectif peut être atteint par des moyens moins intrusifs.
• La motivation d'un acte administratif n'exige pas de révéler à des tiers les circonstances intimes et sensibles d'une personne ; il est suffisant de se référer aux conditions légales et aux conclusions factuelles sans détailler les données personnelles sous-jacentes.
• Les responsables de traitement ont une obligation de protection renforcée à l'égard des données concernant des personnes vulnérables, afin d'éviter tout risque de stigmatisation.
• La fourniture volontaire d'une donnée par la personne concernée n'exonère pas le responsable de traitement de son obligation de limiter la diffusion ultérieure de cette information à ce qui est strictement nécessaire.