L'essentiel pour le DPO
Un registre documentaire électronique est un système de gestion documentaire comme un autre : si chaque utilisateur voit tout ce qui y transite, la configuration est déjà illicite. Les documents relatifs à la relation de travail exigent des procédures différenciées et confidentielles. La sanction est faible ; le principe ne l'est pas.
Ce qui s'est passé
La procédure est partie de deux fronts qui se sont rejoints : une notification de violation déposée par l'organisme lui-même et une plainte d'une personne concernée. L'instruction a établi que le registre documentaire électronique de la Ville métropolitaine de Sassari était configuré de telle sorte que des documents contenant des données personnelles étaient accessibles à des agents qui, au regard de leur poste et de leurs missions, n'étaient pas autorisés à les traiter.
Il n'y a eu ni intrusion externe ni attaque. Il y a eu une configuration : le système montrait à des agents non autorisés des documents qu'il aurait dû réserver. C'est la catégorie de violation la plus fréquente dans le secteur public et la moins racontée, parce qu'elle n'a rien de spectaculaire.
Les principes violés
L'autorité a relevé la violation des principes d'intégrité et de confidentialité, de responsabilité et de protection des données dès la conception et par défaut. Ce dernier est le point central : la protection par défaut signifie que la configuration initiale d'un système doit être la plus restrictive, non la plus commode. Un registre qui naît avec une visibilité totale et n'est restreint que sur demande est exactement l'inverse.
Rappelant ses propres décisions antérieures, l'autorité a réaffirmé que les traitements effectués au moyen de systèmes de gestion documentaire requièrent eux aussi des mesures techniques et organisationnelles propres à garantir un accès sélectif à la documentation du registre, afin d'éviter sa consultation par du personnel non autorisé.
Le passage le plus important : les documents concernant les salariés
L'autorité est explicite : l'enregistrement de documents contenant des données personnelles des salariés et se rapportant à la relation de travail exige des procédures différenciées et confidentielles. Une permission générique sur le dossier ne suffit pas : ces documents appellent un circuit distinct. C'est la partie qui, dans la plupart des organismes et des entreprises, n'existe pas.
Pourquoi la sanction reste faible, et pourquoi ce n'est pas une bonne nouvelle
Pour fixer la sanction à 12 000 euros, l'autorité a tenu compte, entre autres, de trois éléments : qu'elle fournit aux employeurs publics et privés des indications sur le traitement correct des données dans la relation de travail depuis 2007 ; que la violation a concerné l'ensemble des données personnelles transitant par le registre ; et que le traitement portait aussi sur des éléments sensibles pertinents en matière disciplinaire.
Il faut les lire tels qu'ils sont écrits : ce sont des circonstances aggravantes, non atténuantes. La sanction reste contenue pour des raisons liées à la nature de l'organisme, mais le raisonnement qui la sous-tend est sévère, et dans un contexte privé, à faits identiques, le résultat financier serait différent. La référence à 2007 est une manière élégante de dire qu'en la matière il ne reste plus d'excuses d'interprétation.
La vérification en une demi-heure
1) Demandez au client de se connecter au registre documentaire avec le profil le moins privilégié et regardez ce qu'il voit : c'est le test le plus rapide et le plus révélateur. 2) Vérifiez s'il existe un circuit distinct pour les documents relatifs à la relation de travail, en particulier disciplinaires et de santé. 3) Contrôlez si les profils d'autorisation ont été revus depuis la dernière réorganisation : les personnes changent presque toujours de poste tandis que les droits demeurent. 4) Vérifiez que le registre des traitements comporte la gestion documentaire comme traitement autonome, avec ses destinataires et ses mesures : s'il n'y figure pas, personne n'a jamais évalué cette configuration.
Le point pour le DPO externe
C'est une sanction qu'une heure de travail et une liste de profils auraient évitée. Si elle survient malgré tout, c'est que personne n'y voit un sujet de protection des données : le registre relève du secrétariat, les droits relèvent de l'informatique, et le DPO est consulté sur les mentions d'information. Le moyen de l'intercepter est d'inscrire la revue des profils d'accès aux systèmes documentaires parmi les vérifications périodiques du client, avec une échéance propre, comme pour le registre des traitements. C'est exactement le type de contrôle qui échappe lorsque les échéances vivent dans la tête du consultant plutôt que dans un calendrier.
Source officielle:Autorité italienne de protection des données - Lettre d'information n° 550 du 29 juillet 2026 ; décision du 11 juin 2026 [doc-web 10266034]Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
