2.1 Glossaire et définitions clés

Cette section contient un glossaire de certaines définitions clé liées aux données responsables et à la protection des données dans le contexte humanitaire. Elle vous renvoie également à d’autres sections plus détaillées, voire à d’autres boîtes à outils.

Vous pourrez retrouver certains de ces concepts sous un format différent dans la sous-section 2.7 Notions essentielles à retenir où ils seront présentés comme des “capsules de connaissances”.

Dans la table des matières ci-dessous, cliquez sur l’intitulé de chaque définition pour être dirigé.e vers le contenu du glossaire.

Vous trouverez une liste plus générale de définitions liées à la gestion des données programme dans le Glossaire de la Boîte à Outils premiers pas en gestion des données programmes, développée par CartONG.

Enfin, vous pouvez vous référer au très utile glossaire français-anglais de l’autorité française en matière de protection des données] , la CNIL.

Notez que vous trouverez d’autres définitions et glossaires dans plusieurs des ressources référencées dans cette boîte à outils. Le contenu peut légèrement différer car les interprétations dépendent du contexte et du mandat spécifiques des organisations. Ne soyez pas déconcerter par ces différences, le sujet étant complexe, il peut être abordé sous différents angles.

Les définitions ci-dessous sont principalement extraites de l’un des documents de référence suivants :

• OCHA & Center for Humanitarian Data, 2020, IASC Operational guidance on Data Responsibility in humanitarian action,

• OCHA & Center for Humanitarian Data, 2020, IASC Operational guidance on Data Responsibility in humanitarian action,

• CICR, 2021, Manuel sur la protection des données dans l’action humanitaire, 2ème édition,

• Croix Rouge néerlandaise - 510, 2018, Data Responsibility Policy,

• PAM, 2017, Conducting Mobile Surveys Responsibly,

• ICO (organisme britannique indépendant créé pour faire respecter les droits à l’information) – site internet,

• Le RGPD européen.

Lorsque les définitions sont complémentaires, les deux sources d’information sont affichées.

TABLE DES MATIÈRES

• 1. Définitions générales
  • 1.1 Protection des données
  • 1.2 Gestion responsable des données
  • 1.3 Données personnelles
  • 1.4 Informations personnellement identifiables (IPI)
  • 1.5 Données sensibles
  • 1.6 Le principe “Ne pas nuire” (“Do no harm”)
• 2. Les rôles en matière de protection des données
  • 2.1 Personne concernée (ou individu ou “Data subject”)
  • 2.2 Responsable du traitement (“Data controller”)
  • 2.3 Sous-traitant (“Data processor”)
  • 2.4 Délégué à la protection des données (DPO)
• 3. Les droits de la personne concernée
  • 3.1 Droit d’information
  • 3.2 Droit d’accès
  • 3.3 Droit de rectification et de suppression
  • 3.4 Droit de limiter le traitement des ses données
  • 3.5 Droit à la portabilité de ses données
  • 3.6 Droit d’opposition
• 4. Bases légales et juridiques du traitement
  • 4.1 L’intérêt vital
  • 4.2 Mission publique ou intérêt public
  • 4.3 L’intérêt légitime
  • 4.4 L’exécution du contrat
  • 4.5 Obligations légales
  • 4.6 Consentement
• 5. Outil et situations
  • 5.1 Analyse d’impact sur la protection des données (AIPD)
  • 5.2 Accord de transfert de données (“Data transfer agreement” - DTA)
  • 5.3 Traitement des données
  • 5.4 Protection des données dès la conception et par défaut
  • 5.5 Fuite de données
  • 5.6 Données biométriques
• 6. Pseudonymisation & anonymisation
  • 6.1 Données dé-identifiées ou pseudonymisées
  • 6.2 Ré-identification
  • 6.3 Données anonymisées ou données rendues anonymes
  • 6.4 Données agrégées

---

1. Définitions générales

1.1 Protection des données

La protection des données comprend les processus, les systèmes et les pratiques utilisés pour protéger les informations contre la perte, la corruption ou l’accès par des parties non autorisées. Elle fait référence aux droits fondamentaux des personnes : le droit à la protection des données découle du droit à la vie privée.

Comme l’a déclaré le CICR, “la protection des données personnelles est un aspect essentiel de la protection de la vie, de l’intégrité physique et morale et de la dignité des personnes”. Les nouvelles technologies ont permis un traitement plus facile et plus rapide des données personnelles, ce qui génère des préoccupations quant à l’intrusion dans la vie privée. Dans le secteur de la solidarité internationale, les ONG collectent et traitent des données personnelles pour exercer des activités humanitaires. Toutefois, dans des environnements où l’État de droit peut ne pas être pleinement appliqué, “la protection des données personnelles des bénéficiaires et de leur personnel est nécessaire afin de préserver leur sécurité, leur vie et leur travail” (CICR, Manuel sur la protection des données dans l’action humanitaire).

1.2 Gestion responsable des données

La gestion responsable des données est le devoir de garantir les droits des personnes au consentement, à la vie privée, à la sécurité et à la propriété dans le cadre des processus de collecte, d’analyse, de stockage, de présentation et de réutilisation des données tout en respectant les valeurs de transparence et d’ouverture. (Engine Room).

1.3 Données personnelles

Toute information relative à une personne physique (ou “personne concernée” ) qui peut être identifiée directement ou indirectement. Plus précisément, il s’agit de :

• Un nom, une photo, une empreinte digitale ou un scan de l’iris,

• Un numéro d’identification, un numéro d’employé ou un matricule interne,

• Un numéro de téléphone ou de sécurité sociale,

• Des données de localisation telles qu’une adresse postale,

• Une adresse mail, un identifiant de connexion informatique, une adresse IP,

• Un enregistrement vocal,

• Une ou plusieurs caractéristiques propres à l’identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale de cette personne physique.

En bref, les données personnelles sont des informations concernant une personne vivante particulière. Il ne s’agit pas nécessairement d’informations “privées” - même des informations connues du public ou concernant la vie professionnelle d’une personne peuvent être des données personnelles. Elles ne couvrent pas les informations véritablement anonymes, mais si vous pouvez encore identifier quelqu’un à partir des détails, ou en les combinant avec d’autres informations, elles seront toujours considérées comme des données personnelles. (ICO)

1.4 Informations personnellement identifiables (IPI)

Également appelées “identifiants directs”, ce sont des données personnelles spécifiques pouvant directement identifier un individu. Les IPI peuvent inclure des données telles que le nom, l’adresse ou le numéro de carte d’identité/passeport d’un enquêté.

“Informations personnellement identifiables” est le terme américain (“Personally Identifiable Information” – PII) ; le terme “Informations personnelles” (“personal information”) est la version européenne. Néanmoins, les deux termes ne sont pas tout à fait équivalents. Toutes les IPI peuvent être des informations personnelles, mais toutes les informations personnelles ne sont pas considérées comme des IPI.

Les IPI ont un champ d’application limité, qui comprend : le nom, l’adresse, la date de naissance, les numéros de sécurité sociale et les informations bancaires. Dans le contexte du RGPD, les informations personnelles font également référence à des données telles que les photographies, les messages sur les médias sociaux, les préférences et la localisation. Par conséquent, pour se conformer au RGPD, vous devez prendre en compte la définition plus large de ce que sont les informations personnelles.

Ce qui constitue des données personnelles identifiables s’étend continuellement, car les progrès technologiques permettent ou facilitent l’identification d’une personne à partir d’éléments d’information disparates provenant du large éventail d’ensembles de données qui sont désormais accessibles. (510)

1.5 Données sensibles

Ce sont des données personnelles qui, si elles sont divulguées ou si quelqu’un y accède sans autorisation appropriée, peuvent causer un préjudice, entraîner une discrimination ou une répression à l’encontre de la personne concernée, et donc potentiellement porter atteinte aux droits fondamentaux des personnes. Selon le RGPD, les données sensibles englobent les données révélant :

• L’origine raciale ou ethnique,

• Les opinions ou l’affiliation politiques,

• Les croyances religieuses ou philosophiques,

• L’appartenance à un syndicat,

• Les orientations sexuelles,

• Les allégations, procédures ou condamnations pénales,

• L’affiliation à un groupe armé,

• La santé (données sur la santé physique ou mentale de toute nature, telles que le statut VIH ou tuberculose, les dépendances, les maladies, les méthodes de contrôle des naissances, les situations de handicaps, les traitements médicaux, les allergies),

• Les données génétiques et biométriques si utilisées à des fins d’identification.

La divulgation de données sensibles pourrait causer un préjudice à une personne ou avoir un impact négatif sur la capacité d’une organisation à mener à bien ses activités.

Toutes les données sensibles nécessitent une protection accrue, même si les différents types de données entrant dans le champ des données sensibles (par exemple, différents types de données biométriques) peuvent présenter des niveaux de sensibilité différents. Compte tenu des situations spécifiques dans lesquelles les organisations humanitaires travaillent et de la possibilité que certaines données puissent donner lieu à des discriminations, l’établissement d’une liste définitive des catégories de données sensibles dans le cadre de l’action humanitaire ne serait pas pertinent. (CICR)

1.6 Le principe “Ne pas nuire” (“Do no harm”)

Définition générale : “Ne pas nuire” ( “Do no harm”, en anglais) consiste à éviter d’exposer les gens à des risques supplémentaires par une action d’aide. “Ne pas nuire” signifie prendre du recul par rapport à une intervention pour examiner le contexte plus large et atténuer les effets négatifs potentiels sur le tissu social, l’économie et l’environnement. (HI/F3E)

Dans le cadre de la gestion responsable des données :
Toutes les mesures raisonnables doivent être prises pour éviter de causer un quelconque préjudice. Cela signifie qu’il faut tenir compte du contexte du projet, y compris des sensibilités politiques et culturelles. Pour une évaluation précise des risques, les connaissances locales sont essentielles et doivent être prises en compte. Si, à un moment donné, l’utilisation d’une donnée ou, à l’inverse, la non-utilisation d’une donnée peut présenter des risques importants pour une partie concernée, il faut procéder à une évaluation qualitative des menaces et des risques. Si l’analyse révèle des risques importants, il faut s’abstenir d’exécuter le projet. (510)

2. Les rôles en matière de protection des données

2.1 Personne concernée (ou individu ou “Data subject”)

Terme technique désignant la personne sur laquelle portent des données personnelles particulières.
Une personne physique (c’est-à-dire un individu) dont les données personnelles font l’objet d’un traitement, qui peut être identifiée, directement ou indirectement par référence à ces données.

La désignation en tant que “personne concernée” est liée à un ensemble de droits spécifiques auxquels elle a droit concernant ses données personnelles, même lorsque ces données sont recueillies, collectées ou traitées d’une autre manière par d’autres personnes.

Bien que les données puissent également concerner des organisations, plutôt que des individus, les organisations ne sont pas considérées comme des “personnes concernées” selon la définition juridique reconnue. (OCHA)

2.2 Responsable du traitement (“Data controller”)

Ce terme désigne la personne qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des données personnelles. (CICR)

Un responsable de traitement est la personne qui décide comment et pourquoi collecter et utiliser les données. Il s’agit généralement d’une organisation, mais il peut également s’agir d’un individu (par exemple, un entrepreneur individuel). Le responsable du traitement doit s’assurer que le traitement des données est conforme aux lois sur la protection des données. Les contrôleurs de données sont les principaux décideurs - ils exercent un contrôle global sur les objectifs et les moyens du traitement des données personnelles. (ICO)

2.3 Sous-traitant (“Data processor”)

Le terme désigne la personne ou l’organisation qui traite les données personnelles pour le compte du contrôleur de données. (CICR)

Le sous-traitant est une personne ou une organisation qui traite et ajoute de la valeur aux données brutes, par exemple en les nettoyant, en les chargeant dans une base de données consultable ou en les combinant avec des données provenant d’autres sources. (OCHA)

Le sous-traitant est une personne ou une organisation distincte (pas un employé) qui traite les données pour le compte du contrôleur et conformément à ses instructions. Les sous-traitants ont certaines obligations légales directes, mais elles sont plus limitées que celles du responsable du traitement […] car ils agissent pour le compte du responsable du traitement concerné et uniquement selon ses instructions. (ICO)

2.4 Délégué à la protection des données (DPO)

Il/elle aide une organisation à assurer la conformité interne, informe et conseille quant aux obligations en matière de protection des données, fournissent des conseils concernant les “analyse d’impact sur la protection des données” (AIPD/PDIA) et sont le point de contact pour les “personnes concernées” et pour l’autorité de contrôle.

Le DPO doit rester indépendant, être un expert en matière de protection des données, disposer de ressources suffisantes et rendre compte au plus haut niveau de la direction.

Le DPO peut être un employé déjà présent au sein de l’organisation ou être nommé à l’extérieur. Dans certains cas, plusieurs organisations peuvent désigner un même DPO commun pour ces organisations.

3. Les droits de la personne concernée

3.1 Droit d’information

Ce principe de transparence donne à chaque personne concernée le droit d’être informée sur (510) :

• Les finalités du traitement auquel les données personnelles sont destinées ainsi que la base légale du traitement choisie,
  • Si les données n’ont pas été acquises sur la base d’un consentement éclairé : l’intérêt légitime poursuivi par le responsable du traitement ou par un tiers.
• L’identité et les coordonnées du responsable du traitement,
• Les coordonnées du délégué à la protection des données (DPO),
• Les destinataires ou les catégories de destinataires des données personnelles, le cas échéant (c’est-à-dire les destinataires tiers), en précisant si le responsable du traitement a l’intention de transférer des données personnelles à un pays tiers ou à une organisation internationale,
• La période pendant laquelle les données personnelles seront conservées, ou si cela n’est pas possible, les critères utilisés pour déterminer cette période,
• L’existence du droit de demander au responsable du traitement l’accès, la rectification ou la suppression des données personnelles, ainsi que la limitation du traitement des données de la personne concernée ou encore le droit de s’opposer au traitement des données ainsi que le droit à la portabilité des données,
• L’existence du droit de retirer son consentement à tout moment,
• Le droit de déposer une plainte auprès d’une autorité de contrôle.

Et, le cas échéant,

• L’existence d’une prise de décision automatisée, y compris le profilage, et, au moins dans de tels cas, des informations significatives sur la logique impliquée, ainsi que sur l’importance et les conséquences envisagées de ce traitement des données pour la personne concernée,
• Lorsque les données ont été acquises auprès d’un tiers, en plus :
  • Les catégories de données personnelles concernées,
  • La source des données personnelles et, le cas échéant, si elles proviennent de sources accessibles au public.

3.2 Droit d’accès

Les personnes ont le droit d’accéder à leurs données personnelles. Cela peut par exemple concerner :

• La confirmation que vous traitez leurs données personnelles,
• Une copie de leurs données personnelles,
• D’autres informations supplémentaires, comme celles que vous devez fournir dans le cadre du droit à l’information :
  • Les personnes peuvent faire une demande d’accès verbalement ou par écrit,
  • Vous devez donner suite à la demande d’accès sans retard excessif,
  • Dans la plupart des cas, vous ne pouvez pas facturer de frais pour traiter une demande. (ICO)

3.3 Droit de rectification et de suppression

Les personnes ont le droit de faire rectifier des données personnelles inexactes, de les faire compléter si elles sont incomplètes ou de faire effacer des données personnelles.

• Les personnes peuvent faire une demande de rectification ou d’effacement verbalement ou par écrit.

Ce droit n’est pas absolu et ne s’applique que dans certaines circonstances.

3.4 Droit de limiter le traitement des ses données

Les personnes ont le droit de demander la restriction ou la suppression de leurs données personnelles. Lorsque le traitement des données est limité, vous êtes autorisé à conserver les données personnelles, mais pas à les utiliser.

Ce droit est étroitement lié au droit de rectification et au droit d’opposition.

3.5 Droit à la portabilité de ses données

Le droit à la portabilité des données permet aux personnes d’obtenir et de réutiliser leurs données personnelles à leurs propres fins dans différents services. Il leur permet de déplacer, copier ou transférer facilement des données personnelles d’un environnement informatique à un autre, de manière sûre et sécurisée, sans en affecter l’utilisation ; par exemple, leur dossier médical en tant que patient, leur numéro de téléphone transféré vers un autre opérateur.

Ce droit ne s’applique qu’aux informations qu’une personne a fournies à un responsable du traitement.

3.6 Droit d’opposition

Le RGPD donne aux individus le droit de s’opposer au traitement de leurs données personnelles dans certaines circonstances.

Les personnes ont un droit absolu d’arrêter l’utilisation de leurs données à des fins de marketing direct. Dans d’autres cas où le droit d’opposition s’applique, vous pouvez être en mesure de poursuivre le traitement si vous pouvez démontrer que vous avez une raison impérieuse de le faire.

4. Bases légales et juridiques du traitement

Pour pouvoir être mis en œuvre, tout traitement de données doit se fonder sur l’une des “bases légales” prévues par le RGPD. La détermination préalable de la base légale appropriée est une étape-clé du cycle de gestion des données.

Il existe 6 bases légales pour le traitement des données. Aucune base n’est “meilleure” ou plus importante que les autres. La base la plus appropriée à utiliser dépendra de votre objectif et de votre relation avec la personne concernée.

La plupart des bases légales exigent que le traitement soit “nécessaire” à une fin spécifique. Si vous pouvez raisonnablement atteindre la même finalité sans le traitement des données (c’est-à-dire : la collecte de données, le partage de données, etc.), vous n’aurez pas de base légale.

Si vous traitez des catégories spéciales de données (c’est-à-dire, des données personnelles, des IPI, des données sensibles, etc.), vous devez identifier à la fois une base légale pour le traitement général des données et une condition supplémentaire pour traiter ce type de données. (ICO)

4.1 L’intérêt vital

Lorsque le consentement ne peut être dûment obtenu, les données personnelles peuvent tout de même être traitées si l’organisation humanitaire établit que cela est dans l’intérêt vital de la personne concernée ou d’une autre personne, c’est-à-dire lorsque le traitement des données est nécessaire pour protéger un intérêt essentiel pour la vie, l’intégrité, la santé, la dignité ou la sécurité de la personne concernée ou d’une autre personne. (CICR)

L’intérêt vital peut se révéler particulièrement pertinent pour les soins médicaux d’urgence, lorsque vous devez traiter des données personnelles à des fins médicales, mais que la personne est incapable de donner son consentement.

Le traitement des données personnelles d’une personne afin de protéger l’intérêt vital d’autres personnes se produit plus rarement. Il peut être pertinent, par exemple, s’il est nécessaire de traiter les données personnelles d’un parent pour protéger l’intérêt vital d’un enfant. (ICO)

L’intérêt vital peut s’appliquer lorsque vous effectuez un traitement pour des raisons humanitaires telles que la surveillance d’épidémies, les cas de personnes disparues, ou en cas de catastrophe naturelle ou d’origine humaine provoquant une urgence humanitaire (pour répondre aux besoins essentiels d’une personne ou d’une communauté pendant ou après une urgence). (ICO/CICR)

4.2 Mission publique ou intérêt public

Vous pouvez vous appuyer sur cette base légale si vous devez traiter des données personnelles :

• “Dans l’exercice de l’autorité publique”,
  • Il s’agit des fonctions et pouvoir publics énoncés dans la loi.
• Pour accomplir une tâche spécifique d’intérêt public prévue par la loi. (ICO)

L’activité en question doit faire partie d’un mandat humanitaire établi en vertu du droit national ou international. Ce serait par exemple le cas pour le CICR, les sociétés nationales de la Croix-Rouge/du Croissant-Rouge, le HCR, l’UNICEF, le PAM, l’OIM et d’autres organisations humanitaires mandatées par le droit national ou international pour mener à bien des missions spécifiques, dans la mesure où le traitement des données personnelles est nécessaire pour accomplir ces missions. Dans ce cas, le terme “nécessaire” doit être interprété de manière stricte (c’est-à-dire que le traitement des données doit être réellement nécessaire, et non simplement commode, pour atteindre la finalité concernée).

Cela peut se produire, par exemple, lorsque le traitement des données personnelles concerne des personnes privées de liberté dans le cadre d’un conflit armé ou d’une autre situation de violence, lorsque l’organisation humanitaire n’a pas encore été en mesure de rendre visite à la personne concernée privée de liberté et donc d’obtenir son consentement et, ensuite, si le consentement n’est pas considéré comme une base légale valable en raison de la vulnérabilité des personnes concernées. (CICR)

4.3 L’intérêt légitime

L’intérêt légitime est la base légale la plus souple pour le traitement, mais ce n’est pas toujours la plus appropriée.

Il est susceptible d’être le plus approprié quand les données des personnes sont utilisées d’une manière à laquelle elles peuvent raisonnablement s’attendre et qui a un impact minimal sur la vie privée ; ou bien lorsqu’une justification impérieuse pour le traitement existe. Si vous choisissez de vous appuyer sur l’intérêt légitime, une responsabilité supplémentaire est assumée par le responsable du traitement en matière de prise en compte et de protection des droits et intérêts des personnes.

Le RGPD mentionne spécifiquement l’utilisation des données des clients ou des employés, le marketing, la prévention des fraudes, les transferts intra-groupes ou la sécurité informatique comme des intérêts légitimes potentiels, mais cette liste n’est pas exhaustive. (ICO)

4.4 L’exécution du contrat

Vous pouvez vous appuyer sur cette base légale si vous devez traiter les données personnelles d’une personne et :

• Un contrat est conclu avec une personne et ses données personnelles doivent être traitées pour vous conformer à vos obligations contractuelles ; ou
• Un contrat n’est pas encore conclu avec la personne, mais elle vous a demandé de faire quelque chose (par exemple, de fournir un devis) et vous devez traiter ses données personnelles pour faire ce qu’elle demande. (ICO)

Ce sera généralement le cas en ce qui concerne des données aux fins suivantes :

• La gestion RH des dossiers personnels, y compris pour le recrutement ; ou
• La gestion des relations avec les fournisseurs de biens/services ; ou
• Les relations avec les donateurs. (CICR)

4.5 Obligations légales

Vous pouvez vous appuyer sur cette base légale si vous devez traiter les données personnelles pour vous conformer à une obligation de droit commun ou statutaire. Vous devez être en mesure d’identifier soit la disposition légale spécifique, soit une source appropriée de conseils ou d’orientations qui définissent clairement votre obligation.

Cela peut être le cas, par exemple, dans le domaine du droit du travail, ou pour les organisations ne bénéficiant pas de privilèges et d’immunités, si cela est nécessaire pour se conformer à une obligation juridique locales. À cet égard, il est également important de souligner que les organisations humanitaires doivent se demander si une obligation légale de divulguer des données qui leur est applicable peut exposer les personnes concernées (les bénéficiaires du ou des programme(s)) à un risque de répression ou leur causer préjudice, auquel cas elles devraient envisager de ne pas s’engager dans la collecte de données.

4.6 Consentement

L’utilisation du consentement comme base légale signifie que la personne physique est d’accord pour que ses données soient traitées.

Le consentement éclairé est toute indication librement donnée, spécifique et informée de l’accord de la personne concernée pour la collecte et le traitement des données personnelles la concernant. Le consentement ou l’action affirmative claire de la personne concernée peut être donné(e) soit par une déclaration écrite, soit par une déclaration orale enregistrée. (510)

Cependant, le consentement est approprié, si la personne a un choix réel et un contrôle concret sur la manière dont ses données seront utilisées, et si le renforcement de la confiance et de l’engagement est souhaité. Si vous ne pouvez pas offrir un véritable choix, le consentement n’est pas approprié. Si vous traitez quand même les données personnelles sans le consentement, demander le consentement serait alors trompeur et intrinsèquement injuste. (ICO)

Si ces conditions sont respectées :

• Le consentement explicite peut légitimer l’utilisation de catégories particulières de données (c’est-à-dire, les données personnelles, les IPI, les données sensibles, etc.),
• Le consentement peut également être pertinent lorsque la personne a exercé son droit de limiter le traitement de ses données,
• Le consentement explicite peut légitimer la prise de décision automatisée et les transferts de données à l’étranger.

Le consentement peut être une question très technique et spécifique au contexte, avec des nombreuses implications légales et réglementaires. Par exemple, le consentement dans le contexte de la recherche universitaire peut être différent de celui dans un contexte de soins de santé. Notez également que le consentement a une signification particulière dans un contexte juridique, qui peut varier selon les juridictions et les secteurs. (The Engine Room).

5. Outil et situations

5.1 Analyse d’impact sur la protection des données (AIPD)

Outil et processus permettant d’évaluer les impacts sur la protection des “personnes concernées” par le traitement de leurs données personnelles et d’identifier les actions correctives nécessaires pour éviter ou minimiser ces impacts. (OCHA)

Une “Analyse d’Impact sur la Protection des Données” (AIPD) est un processus qui vous aide à identifier et à minimiser les risques d’un projet en matière de protection des données. Vous devez réaliser une AIPD pour les traitements de données susceptibles d’entraîner un risque élevé pour les personnes. Votre DPIA doit :

• Décrire la nature, la portée, le contexte et les objectifs du traitement des données,
• Évaluer la nécessité, la proportionnalité et les mesures de conformité,
• Identifier et évaluer les risques pour les personnes,
• Identifier toute mesure supplémentaire pour atténuer ces risques.

Pour évaluer le niveau de risque, vous devez considérer à la fois la probabilité et la gravité de tout impact sur les personnes. Un risque élevé peut résulter soit d’une forte probabilité d’un certain préjudice, soit d’une faible possibilité de préjudice grave. (ICO)

5.2 Accord de transfert de données (“Data transfer agreement” - DTA)

Ils sont généralement établis dans les cas impliquant des données sensibles (par exemple, des données personnelles sur les populations affectées) ou des données propriétaires (par exemple, des images satellites commerciales). Ces accords doivent préciser clairement les rôles et les responsabilités des différentes parties concernées et stipuler des restrictions ou des mesures de protection supplémentaires sur la manière dont les données sont traitées et partagées.

Différents types d’accords de transfert de données sont nécessaires en fonction du type de données, de l’applicabilité des lois régionales et nationales, et des acteurs impliqués.

Lors du transfert des données, le personnel doit respecter toutes les restrictions spécifiées dans la ou les licences concernées. Toute licence ajoutée à des ensembles de données ou à des produits d’information doit rester attachée à ces ressources tout au long du processus de gestion des données. (OCHA)

Remarque : Certaines organisations utilisent le terme protocole de partage de l’information (“Information Sharing Protocol” - ISP) :
Un protocole de partage de l’information (ISP) pour une réponse humanitaire établit des normes, des approches ainsi que des rôles et responsabilités clairs pour le partage de l’information entre différentes fonctions et activités. L’établissement de ce protocole au début de la réponse à une crise peut aider à diffuser l’approche responsable des données dans différents clusters ou secteurs et avec différentes organisations partenaires. (OCHA)

5.3 Traitement des données

Presque tout ce que vous faites avec des données est considéré comme un traitement, y compris la collecte, l’enregistrement, le stockage, l’utilisation, l’analyse, l’agrégation, la diffusion ou la suppression de ces données. (ICO)

Le traitement des données désigne toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données personnelles ou à des ensembles de données personnelles. Cela inclut donc la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, le partage, la diffusion ou toute autre forme de mise à disposition, le rapprochement, l’agrégation ou la suppression des données. (CICR)

5.4 Protection des données dès la conception et par défaut

La protection des données dès la conception (le respect de la vie privée dès la conception) consiste à prendre en compte les questions de protection des données et de la vie privée dès le départ dans tout ce que vous faites. La protection des données dès la conception est une approche qui vous permet de prendre en compte les questions de protection de la vie privée et des données dès la phase de conception de tout système, service, produit ou processus, puis tout au long du cycle de vie des données. Globalement, cela signifie que vous devez intégrer la protection des données dans vos activités de traitement des données et dans vos pratiques commerciales.

La protection des données par défaut consiste à vous assurer que vous ne traitez que les données nécessaires à la réalisation de votre objectif spécifique. Il est lié aux principes fondamentaux de la protection des données que sont la minimisation des données et la limitation de la finalité.

Webinaire CartONG & Ritimo “L’info-sobriété en pratique : comment l’appliquer à mon OSC ? (en français)

Vous devez prendre en compte des principes tels que :

• Adopter une approche qui donne la priorité au respect et à la protection de la vie privée (“privacy-first”) avec tous les paramètres par défaut des systèmes et des applications,
• Garantir que vous ne fournissez pas un choix illusoire aux individus concernant les données que vous allez traiter,
• Ne pas traiter de données supplémentaires à moins que l’individu concerné ne vous y autorise,
• Veiller à ce que les données personnelles ne soient pas automatiquement mises à la disposition du public, sauf si la personne concernée décide de le faire,
• Fournir aux personnes des contrôles et des options suffisants pour exercer leurs droits. (ICO)

5.5 Fuite de données

La perte, la destruction, l’altération, l’acquisition ou la divulgation d’informations causées par des traitements accidentels ou intentionnels, illégaux ou non autorisés, qui compromettent la confidentialité, l’intégrité et/ou la disponibilité des informations. (OCHA)

Une fuite de donnés peut se produire lorsque, par exemple :

• Votre ordinateur portable, votre téléphone mobile ou un dossier papier contenant des données personnelles a été perdu ou volé,

• Vous avez partagé des données personnelles avec une personne qui n’est pas autorisée à y avoir accès, par exemple lorsqu’un courriel a été envoyé au mauvais destinataire,

• Vous avez accès à des informations confidentielles alors que vous ne devriez pas être autorisé à les consulter,

• Vous trouvez des informations confidentielles dans un endroit où elles ne sont pas censées être stockées,

• Vous ouvrez un lien ou une pièce jointe associé(e) à un mail suspect,

• Votre ordinateur ou votre téléphone portable a été piraté ou infecté par un virus. (510)

Remarque : certaines organisations utilisent le terme incident critique :
Tout événement dans lequel un risque est causé aux personnes affectées, à l’organisation et/ou aux partenaires en raison d’une gestion inappropriée des données humanitaires. (OCHA)

5.6 Données biométriques

Techniques de mesure des caractéristiques biologiques (anatomiques ou physiologiques) ou comportementales personnelles qui peuvent être utilisées pour établir l’identité d’une personne physique en les comparant à des données de référence stockées.

Les “identifiants biométriques” sont des éléments d’information qui codent une représentation de la signature humaine unique d’une personne (par exemple, des empreintes digitales, des scans rétiniens ou des enregistrements vocaux) qui ne peuvent pas être facilement modifiés et peuvent être vérifiés électroniquement. (OCHA)

6. Pseudonymisation & anonymisation

6.1 Données dé-identifiées ou pseudonymisées

Les données sont considérées comme pseudonymisées lorsque les données personnelles ne peuvent plus être attribuées à une personne spécifique sans l’utilisation d’informations supplémentaires telles que le code d’enregistrement/d’identification (à condition que ce code soit conservé séparément et en toute sécurité). L’utilisation et le partage de codes d’identification au lieu de noms sont des bonnes pratiques, mais les données ne peuvent pas être considérées comme anonymes puisque l’identification reste possible.

Les données dé-identifiées ou pseudonymisées sont toujours des données personnelles (car il existe toujours un risque qu’elles puissent être reliées à l’individu), et peuvent donc toujours causer des dommages aux individus et à leurs communautés, en particulier lorsque les données sont très sensibles. (ACF/MSF)

6.2 Ré-identification

Processus par lequel des données dé-identifiées redeviennent identifiables et peuvent donc être retracées ou reliées à une ou plusieurs personne(s) ou à un ou plusieurs groupe(s) de personnes par des moyens raisonnablement disponibles au moment de la ré-identification des données (par exemple, par l’utilisation de la mise en correspondance des données, ou des techniques similaires). Il peut être très difficile d’évaluer le risque de ré-identification avec une certitude absolue. (OCHA / CICR)

6.3 Données anonymisées ou données rendues anonymes

Les données anonymes ou rendues anonymes sont des ensembles de données qui ne contiennent aucune information permettant l’identification directe ou indirecte d’une personne (et il n’y a aucune raison de croire qu’elles contiendraient de telles informations).

Les données anonymes ou rendues anonymes peuvent néanmoins porter préjudice aux personnes et à leurs communautés, par exemple lorsqu’elles sont très sensibles.

Remarque : L’anonymisation englobe les techniques qui peuvent être utilisées pour garantir que les ensembles de données contenant des données personnelles sont entièrement et irréversiblement anonymisés de sorte qu’ils ne se rapportent pas à une personne physique identifiée ou identifiable, ou que la personne concernée ne soit pas ou plus identifiable.

6.4 Données agrégées

Lors de l’agrégation de données lors du regroupement d’informations sur la base d’un critère donné à partir de données personnelles, il est important de s’assurer que le traitement, le partage et/ou la publication de ces données ne conduisent pas à l’identification des individus et ne présentent pas de risques pour les personnes concernées.

Bien que le consentement spécifique des personnes concernées ne soit pas requis pour que leurs données personnelles soient utilisées dans des ensembles de données agrégées ou dans le cadre de statistiques, les organisations humanitaires doivent s’assurer que ce traitement des données a une autre base légitime, et n’expose pas les individus ou les groupes à un préjudice, ou ne compromet pas autrement leur protection. (ACF/ CICR)