Cet article a été rédigé par le co-auteur de Madeline Le Botlan, chef de projet et conseillère en protection des données chez Civocracy, et Emily McDonnell, responsable des partenariats et de la communication chez Civocracy.

Le GDPR est l'abréviation de General Data Protection Regulation et a été mis en œuvre par l'UE en mai 2018 dans le but de protéger les données des citoyens européens et de réglementer le partage des données au-delà des frontières.

Le sujet a été mis à l'honneur après le scandale de Cambridge Analytica et Facebook en relation avec la dernière élection américaine (les données des utilisateurs ont été obtenues sans autorisation et utilisées pour manipuler les résultats).

L'apparition de Mark Zuckerberg devant le Congrès américain et le Parlement européen a soulevé des questions de propriété et de responsabilité. L'entreprise privée a-t-elle fait quelque chose de mal? Ou nos politiciens n'ont-ils pas réussi à nous protéger?

• Si vous voulez écrire un article d'opinion, jetez un œil au guide d' Apolitical pour les contributeurs .

C'est le cas le plus médiatisé, mais ce n'est pas le seul où les données des citoyens ont été exploitées. Récemment, il y a eu un développement si rapide dans la sphère numérique que la législation n'a pas eu la chance de rattraper son retard.

Ces violations de données ont de vastes conséquences. Une récente étude de KPMG a révélé que plus de la moitié des consommateurs du monde choisissent de ne pas acheter d'articles en ligne en raison des craintes suscitées par leurs données personnelles.

Et le baromètre d'intrusion de Publicis ETO a montré qu'en 2016, 78% des citoyens interrogés étaient «perturbés» par la manière dont leurs données étaient collectées et stockées.

Le RGPD a été mis en œuvre pour répondre à ces craintes et rendre le pouvoir sur les données personnelles au peuple.

Défis pour le gouvernement local

Tant pour les entreprises privées que pour les institutions publiques, la conformité a suscité beaucoup d'inquiétudes, de nombreuses organisations ayant du mal à se préparer au «RGPD» (seuls certains gouvernements des États sont exemptés d'amendes, mais tous sont tenus responsables).

De nombreuses lignes directrices et informations fournies s'adressent explicitement aux entreprises privées, et pourtant la loi s'applique également aux gouvernements locaux.

Dans La Gazette des communes , il a été signalé que seulement 10% des collectivités locales en France étaient prêtes à la date limite du 25 mai. Et depuis lors, la situation n'a pas changé de manière significative.

Dans le cadre du RGPD, les autorités locales et régionales - qui possèdent un grand nombre de données sensibles sur leurs citoyens (telles que les dossiers de population ou des informations sur la location d'appartements) - peuvent encourir des amendes extrêmement élevées pour mauvaise utilisation d'informations. Les frais peuvent atteindre 10 à 20 millions d'euros (11 à 23 millions de dollars) pour non-conformité, et des contrôles aléatoires par des spécialistes des données sont organisés dans toute l'Europe pour surveiller les progrès de la mise en œuvre.

Qu'est-ce que la conformité?

Avec des amendes si élevées, il est facile d'avoir si peur des répercussions que nous arrêtons simplement de collecter et de traiter les données.

Cependant, lorsque nous décomposons ce que signifie réellement le RGPD, c'est clair: utilisez uniquement les données dont vous avez besoin. Les données personnelles doivent être traitées légalement, équitablement et de manière transparente par rapport à la personne concernée et à la finalité.

Dans le secteur public, il existe une base essentielle pour le traitement des données personnelles. La «base des tâches publiques» permet aux autorités d'utiliser des données lorsqu'elles peuvent démontrer que le traitement consiste à effectuer des tâches définies par la législation nationale.

Il existe un certain nombre d'autres bases légales pour le traitement des données. Le plus important est d'obtenir le consentement des utilisateurs au début du processus de collecte de données. Les autres bases légales comprennent les obligations légales ou contractuelles et les intérêts vitaux de sécurité.

La conformité en cinq étapes

1. Identifiez votre délégué à la protection des données (DPD)

Vous devriez déjà en avoir un; dans de nombreux pays, la loi l'exige depuis de nombreuses années. La plupart des organisations traitent une grande quantité de données et auront donc une personne chargée de superviser ce contenu.

Trouvez le DPD le plus proche de votre bureau et invitez-le à donner un atelier dans lequel il forme le personnel pour s'assurer qu'il est au courant de la protection des données et reconnaît quand et comment les données sont traitées dans leurs rôles quotidiens.

2. Traitement des données? Posez-vous trois questions

Qu'essayez-vous d'accomplir? Pouvez-vous obtenir ce résultat différemment sans utiliser ces données? Avez-vous le choix de traiter ou non ces données? Si les données sont essentielles à vos objectifs, vous pouvez les utiliser. Mais n'utilisez que ce dont vous avez besoin, manipulez-le avec soin et ne le partagez pas inutilement.

Vous avez également la possibilité d'anonymiser les résultats, hautement recommandé dans la mesure du possible pour une couche de protection supplémentaire.

3. Confidentialité par conception et par défaut

Le RGPD ne doit pas être une réflexion après coup, ni une lentille à travers laquelle évaluer rétrospectivement des projets. Tous les nouveaux processus doivent intégrer les principes de confidentialité et chaque projet, politique et processus doit protéger les données des utilisateurs sans nécessiter leur contribution.

Gardez à l'esprit les éléments suivants lors de la collecte de données:

  • Spécification de l'objectif: les individus doivent être informés de l'utilisation de leurs données (c'est-à-dire qu'il n'est pas acceptable d'utiliser les informations régionales des demandeurs d'emploi pour les communications politiques)
  • Limite de collecte: la collecte de données personnelles doit être légale et transparente
  • Minimisation des données: le moins de données possible doit être collecté, et uniquement à des fins de traitement immédiat

**4. Analyse ministérielle des risques
**
Le RGPD n'est pas seulement un risque pour le service informatique. Il affecte chaque département, il est donc essentiel de comprendre quelles données chaque équipe interne gère et de s'assurer qu'elles sont conscientes de toutes les sensibilités autour de leur traitement. Par exemple, les équipes RH possèdent des données personnelles internes et les équipes de communication utilisent les données pour partager des messages.

Avec chaque service, identifiez les catégories de données traitées et leur sensibilité particulière. Faites une évaluation de l'impact du niveau de risque des données et mettez en place un système de reporting en cas de brèche de sécurité.

**5. Choisissez judicieusement vos fournisseurs
**
Lors des premières réunions avec des fournisseurs externes potentiels, posez des questions sur leur conformité au RGPD et demandez-leur comment ils traitent les données.

Les partenaires offrent-ils la confidentialité par défaut? S'ils sont un produit en ligne, utilisent-ils un service d'hébergement fiable et fiable (par exemple, Amazon Web Services), et demanderont-ils le consentement des utilisateurs?

Lorsque vous travaillez avec des sociétés externes, il y a deux rôles clés à considérer: processeur et contrôleur. Le contrôleur est tenu de rendre des comptes. Les contrôleurs de données sont ceux qui génèrent et possèdent les données; ils doivent donc fournir des spécifications précises en matière de protection des données lors de l'externalisation des traitements pour assurer la conformité. Les processeurs de données utilisent simplement les données qui leur ont été fournies d'une manière qui leur est spécifiée par le contrôleur. - Madeline Le Botlan et Emily McDonnell

(Crédit photo: Flickr / t.ohashi)