Une municipalité italienne (responsable du traitement) a publié sur son tableau d’affichage public en ligne, ainsi que dans un communiqué de presse, des informations sur le licenciement de la personne concernée, dont son numéro de matricule (mais son nom).

Sur plainte de l’ancien employé, le responsable du traitement a fait valoir que les informations avaient d’abord été pseudonymisées et que seuls les employés savaient comment les décrypter. En outre, le tableau d’affichage en ligne n’était pas indexé dans les moteurs de recherche

Dans une décision no 9815665 du 15.09.2022 l’autorité italienne de protection des données (DPA ; Garante per la protezione dei dati personali) écrit que le numéro de matricule est considéré comme un numéro d’identification, car il permet à des tiers de retrouver l’identité de la personne concernée, et pas seulement au personnel autorisé.  La DPA a rappelé au responsable du traitement que, comme le définit le considérant 26 RGPD, la pseudonymisation est une simple mesure technique qui permet de retrouver l’identité d’une personne concernée de manière indirecte ou en utilisant des informations supplémentaires.

Par conséquent, la DPA a estimé qu’un numéro de matricule figurant sur des publications en ligne relève de la définition de « données à caractère personnel » au sens de l’art. 4 ch. 1 RGPD.

(Décision originale : https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9815665; présentée et résumée en anglais ici : https://gdprhub.eu/index.php?title=Garante_per_la_protezione_dei_dati_personali_(Italy)_-_9815665&mtc=today)

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)