L'université de Teramo a été sanctionnée pour la communication interne et la diffusion publique de données personnelles d'un employé relatives à un contentieux prud'homal, suite à une erreur humaine dans la gestion de l'ordre du jour de son conseil d'administration.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a publié une décision de sanction à l'encontre de l'Université des Études de Teramo (comprenant le prononcé d'une amende de XX) pour des manquements en lien avec la communication et la diffusion illicites de données personnelles d'un employé.

L'affaire trouve son origine dans la plainte d'un employé de l'université concernant la divulgation de son nom et des références d'un recours qu'il avait intenté devant le tribunal du travail.

Motifs de la décision

• Obligation de licéité, loyauté, transparence et de minimisation des données (article 5, paragraphe 1, points a) et c) du RGPD) : L'autorité a jugé que la communication par courriel à l'ensemble du personnel (près de 950 personnes) et la publication sur le site internet de l'ordre du jour du conseil d'administration, mentionnant le nom du plaignant et le numéro de son dossier judiciaire, constituaient une communication à des tiers et une diffusion non justifiées. L'université aurait dû, conformément au principe de minimisation, expurger ces données personnelles des documents destinés à une large audience, même si l'incident résultait d'une erreur humaine. L'autorité rappelle, en citant ses lignes directrices de 2014, que les obligations de transparence ne permettent pas de déroger aux principes de protection des données et que les informations doivent être anonymisées si la finalité peut être atteinte ainsi.
• Obligation de disposer d'une base juridique pour le traitement (article 6, paragraphe 1, points c) et e) du RGPD) : L'autorité a constaté que ni la communication interne ni la diffusion en ligne des données du plaignant ne reposaient sur une base juridique valable. Le traitement n'était pas nécessaire à l'exécution d'une obligation légale ou d'une mission d'intérêt public pour les destinataires du courriel ou le public. L'autorité précise que la communication et la diffusion de données par un organisme public ne sont admises que si elles sont prévues par une norme de loi ou de règlement claire et prévisible, comme l'exige le considérant 41 du RGPD, ce qui n'était pas le cas en l'espèce.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de XX € à l'Université des Études de Teramo.

Enseignements

Cette décision rappelle que :

• La gestion des documents administratifs doit rigoureusement distinguer les versions de travail internes, pouvant contenir des données personnelles nécessaires à la délibération, des versions destinées à une communication large ou à une publication, qui doivent être systématiquement expurgées de telles données en application du principe de minimisation.
• Les obligations de transparence imposées aux organismes publics ne sauraient justifier une diffusion généralisée de données personnelles ; chaque publication doit faire l'objet d'une analyse au cas par cas pour s'assurer de sa nécessité et de sa conformité avec le principe de minimisation.
• La communication de données personnelles relatives à un employé à l'ensemble du personnel d'une organisation est considérée comme une communication à des tiers, dès lors que les destinataires ne sont pas légitimement habilités à en connaître pour l'exercice de leurs fonctions.