5.3 Protéger ses données dès et dans la conception

Planifier sa collecte de données de manière responsable ne doit pas être considéré comme une tâche impossible. Cependant, elle doit être faite pour que les ONG suivent le principe “ne pas nuire” en ce qui concerne les données. D’une manière générale, n’hésitez pas à consulter la partie 9 “Mobile Data Collection and Data Protection” du Module 4: Getting the data we need “Mobile Data Collection and Data Protection” del’IFRC Data Playbook (en anglais) qui fournit des éléments et des précisions à ce sujet. Les parties “Data protection vs security vs responsibility..?” de la page 50, “Some key aspects of GDPR” de la page 52 et “Use case” (page 52-54) sont aussi recommandées.

TABLE DES MATIÈRES

• Ne collectez que ce dont vous avez besoin
• Réfléchir sérieusement à la question du consentement
• Gérer les risques

---

Ne collectez que ce dont vous avez besoin

La première chose à retenir est de limiter la saisie des données au minimum, c’est-à-dire de ne collecter que les données dont vous avez besoin. L’exercise 7 - 9 What data do we really need? du Module 7: Responsible Data Practices and Data Protection de l’IFRC Data Playbook est très utile en la matière. La minimisation des données permet également d’éviter les pertes de temps et de ressources dues à une collecte de données trop importante et trop lourde. Vous trouverez ci-dessous certaines des étapes les plus importantes et les plus pertinentes à prendre en compte lors de la planification d’une collecte de données.

Si vous n’avez pas de recommandations internes à suivre de la part de votre organisation à ce sujet (si vous n’avez pas de délégué à la protection des données ou quelques directives de protection des données sur la collecte des données), vous pouvez commencer par vous renseigner sur la gestion responsable des données dans les organisations humanitaires ; il est fortement recommandé de suivre cette formation de 2 heures Disaster Ready (disponible en français et en anglais).

Conjointement à votre Plan d’analyse, qui légitime vos besoins en données et limite la collecte au minimum (=minimisation des données), vous devez essayer de pré-classifier les données que vous souhaitez collecter en réfléchissant à certains de ces aspects :

• (Réponse dans le plan d’analyse) : Quel type de données est collecté ? Pourquoi et comment ?
• Ces données seront-elles des données personnelles ?
• Ces données seront-elles sensibles ?
• Avec quels acteurs (donateurs, financeurs, …) les partagerez-vous et dans quelle mesure ?
• Quels autres acteurs pourraient être intéressés par ces données ?
• Quels sont les risques liés à la collecte de ces données et comment allez-vous les gérer ? Sont-elles trop importantes pour prendre le risque de collecter ces données ? Pour évaluer cela, une bonne pratique consiste à remplir une évaluation de l’impact sur les données (DIA), comme expliqué ci-dessous.
• Comment allez-vous sécuriser ces données pour garantir la sécurité et la confidentialité des personnes concernées ?
• Comment allez-vous les stocker, les partager, les transférer ? Allez-vous les partager en interne ? et en externe ?
• Combien de temps avez-vous besoin de ces données ? Quand et comment allez-vous planifier la suppression, l’archivage ou la dépersonnalisation des données ?
• Comment resterez-vous en contact avec les communautés pour :
  • Les informer de ce qui est fait avec leurs données.
  • leur permettre de revenir vers vous pour respecter leurs droits en matière de données, en fonction de la législation que vous devez respecter et de vos obligations éthiques (correction, suppression, etc.).

Pour vous aider à classer vos données, vous devez voir le point 7 - 13 Data Hygiene Checklist du Module 7: Responsible data practices and data protection de l’IFRC Data Playbook (en anglais).

Cette série de questions représente la base pour compléter un plan de gestion des données, qu’il est fortement recommandé de faire avant toute collecte de données. Vous pouvez trouver la matrice du plan de gestion des données d’Oxfam ci-dessous pour vous donner un exemple.

Un plan de gestion des données peut se référer à chaque collecte de données au sein d’un projet, ou à un projet spécifique, un bureau ou une mission afin de limiter la nécessité d’en faire un nouveau chaque fois que vous devez collecter des données. Cependant, vous devez vous assurer que les données que vous allez collecter correspondent aux exigences du plan général de gestion des données de la mission par exemple.

Réfléchir sérieusement à la question du consentement

La réponse aux questions ci-dessus vous aidera à réfléchir à la manière d’informer la population auprès de laquelle vous collectez des données sur ses droits et à voir comment vous voulez demander son consentement.

Il est toutefois important d’adapter et de réadapter la manière dont vous demandez le consentement (c’est-à-dire le “scénario”) en fonction de ce qui se cache derrière pour chaque collecte de données (en fonction de ce que vous prévoyez de faire réellement avec les données, des caractéristiques de la population etc.). Voici quelques points à garder à l’esprit :

• Rendez-le facile à comprendre
• Mentionnez le fait qu’un appareil mobile sera utilisé pour la collecte si c’est le cas (ou permettez-leur de refuser le fait qu’un appareil mobile sera utilisé si cela les met mal à l’aise).
• Obtenir le consentement d’un enfant est différent de celui d’un adulte : vous devrez vous assurer que vous avez également le consentement du tuteur.
• Pour vous assurer que vous obtenez un consentement éclairé et que la personne interrogée connaît ses droits et les enjeux, vous devez utiliser une syntaxe telle que “Je comprends que…”.
• Précisez bien entendu toutes les utilisations qui seront faites des données, les structures auxquelles elles seront partagées.
  

Source : Becoming RAD: How to Retain, Archive and Dispose of data responsibly

Gérer les risques

Il existe de nombreux outils qui peuvent être utilisés pour améliorer et adopter des mesures de sécurité que les gens connaissent déjà. Vous devriez examiner le Manuel de terrain pour le personnel du PAM: Réaliser des enquêtes par téléphone portable de manière responsable, en particulier :

• La Section 3 “Chaîne de responsabilités en matière de données” qui fournit une liste des risques et dommages potentiels à 3 étapes de la collecte de données (avant, pendant et après) à la page 8, un résumé des éléments à prendre en compte pour chacune de ces 3 étapes (page 19), et d’autres conseils utiles sur le consentement par exemple.
• La Section 4 “Outils et methodes que les officiers du PAM sur le terrain peuvent utiliser pour atténuer les risques” de ce guide pratique à l’intention du personnel sur la réalisation d’enquêtes mobiles de manière responsable pour connaître des solutions d’atténuation plus détaillées et concrètes que vous pouvez mettre en œuvre.
  

Voici un exemple d’évaluation des risques basé sur un modèle de plan d’évaluation des risques d’Oxfam :