Sur la vie privée de votre élève, de votre patient ou de votre résident (et aussi de la vôtre)

 

Rédaction et photographie : Mattias Devriendt

L’avez-vous lu aussi ? ‘Le scandale Facebook est beaucoup plus grand qu’on pensait : 87 millions d’utilisateurs sont atteints’. ‘Cambridge Analytica possède des données de possiblement 61.000 utilisateurs’. ‘Hey Google, Siri et Alexa : est-ce que vous nous écoutez clandestinement quand nous ne faisons pas attention?’ ‘Argenta stupéfie les experts en vie privée avec des virements par mail’. La vie privée, c’est un thème ‘hot’ ! Et votre école ou votre établissement possède un grand nombre de données sensibles… Qu’est-ce qui se peut et quoi non ? Et comment protégeons-nous ces données ? Personne ne semble trouver une réponse concluante à ces questions. Hormis Caroline De Geest, porte-parole de la Commission de la Vie Privée ! Les Frères de la Charité sont partis pour Bruxelles pour lui en parler et trouver des réponses. Car depuis le 25 mai tout a changé. Ou rien ?

 

1.En fait, la vie privée, c’est qoi ?

Caroline De Geest : « Il y a une différence importante entre la vie privée et le droit de la protection de données. La protection de données concerne la protection de données d’identification. Pensez à votre nom, votre date de naissance, votre domicile, votre numéro de compte bancaire ou votre photo. La vie privée est une notion beaucoup plus large et plus personnelle.

Cela signifie quelque chose de différent pour chacun, ce par quoi il est difficile aussi de délimiter. Et nous nous en occupons tous quotidiennement. Si par exemple, chez vous,  vous fermez les rideaux, vous protégez votre vie privée ! En général cela signifie ‘la liberté de déterminer soi-même ce que l’on veut faire regarder par un autre’. La vie privée de quelqu’un dépend donc aussi fortement du contexte. Chez un médecin vous partagez plus votre vie privée que chez une personne de votre connaissance que vous voyez peu. Je donne un exemple. Vous êtes dans la rue en train de parler d’un match de football avec quelques amis. Quelqu’un d’inconnu rejoint votre petit groupe. Le fait que cet inconnu peut écouter aussi vos opinions en matière de football est une chose de vie privée. Mais la personne ne peut pas savoir qui vous êtes, par l’entretien. Il n’y a pas de données personnelles en cause. Si pourtant vous parlez avec vos amis de votre état médical et quelqu’un enregistre l’entretien avec son smartphone, il a bien des données personnelles sur vous. Dans ce cas il s’agit de vie privée et de protection de données. »

 

2. Pourquoi le GDPR est nécessaire ?

Caroline De Geest : « Jusque 1992 il n’y avait dans la législation qu’une attention éparse pour la vie privée et la protection des données du citoyen. En 1992 on a rédigé une première loi concernant ce thème (aujourd’hui aussi appelée la ‘Loi sur la Vie Privée’). Cette loi n’était pourtant plus accordée aux évolutions sociales actuelles. C’est pourquoi l’Europe a décidé de proposer un cadre commun. Depuis le 25 mai 2018 il y a donc un règlement européen en vigueur, appelé GDPR (General Data Protection Regulation). Il tient entre autres plus compte des évolutions sur le plan des médias sociaux, la mémorisation de données sur le ‘cloud’, l’internationalisation, le fait que des entreprises sont actives en même temps dans de nombreux pays et les possibilités de vendre des données et de les commercialiser. D’une part le citoyen aura à l’avenir plus de contrôle de ses données. D’autre part, lors du traitement de données, une grande responsabilité est donnée aux traitants (des entreprises, des organisations, les pouvoirs publics,…). Ce qui est également nouveau est que les traitants peuvent être sanctionnés administrativement quand ils ne gèrent pas correctement les données qu’ils possèdent. Saviez-vous d’ailleurs qu’aux Etats-Unis on réfléchit tout à fait différemment quand il s’agit de la protection de données ? En Europa la protection des données est un droit fondamental, tandis qu’aux Etats-Unis ce n’est rien de plus qu’un droit du consommateur, où les données peuvent être commercialisées. Cela déclare la différence en approche et en réglementation entre les deux continents. »

 

3. Qu’est-ce qui change pour votre école ou votre établissement ?

Caroline De Geest : « La gestion de chaque organisation, donc aussi votre école ou votre établissement, doit depuis le 25 mai 2018 pouvoir démontrer que les données dont elle dispose ont été traitées correctement, conformément aux directives dans la ‘GDPR’ (voir la question 2). Et votre lieu de travail dispose de beaucoup de données. Pensez à tout ce que vous conservez sur des élèves, des patients ou des résidents, mais aussi toutes les données sur les 15.000 collaborateurs des Frères de la Charité. ‘Traiter correctement’, qu’est-ce ? 4 choses sont importantes :

• Des données peuvent seulement être traitées s’il y a une base justifiée pour cela. Cela peut être le consentement (préalable et éclairé) de la personne concernée, un contrat ou une convention, une obligation légale,… Il y a aussi des conditions spéciales dans lesquelles des données peuvent être libérées. Pensez à la communication du groupe sanguin d’une personne mourante.
• Quand il y a effectivement une base justifiée pour traiter les données de quelqu’un, cela ne veut pas dire qu’en tant qu’entreprise on peut faire n’importe quoi avec ces données. Le traitant a le devoir de transparence. Les personnes doivent savoir comment leurs données sont utilisées et avec qui elles sont partagées. Il ne suffit pas de dire ‘Nous partageons vos données avec des organisations partenaires’. Il faut mentionner explicitement de quels intervenants il s’agit.
• Vous pouvez seulement obtenir les données dont vous avez besoin pour atteindre votre objectif et il faut éloigner les données quand elles ne sont plus utilisées.
• Les organisations doivent communiquer leur traitement de données dans un langage transparent, sur la mesure de l’élève, du parent, du résident ou du patient. Quelqu’un avec une déficience visuelle peut donc à juste titre porter plainte quand l’établissement mentionne simplement: ‘lisez le site web’. La communication est donc cruciale à ce sujet. »

 

4. Qu’est-ce qui change pour vous?

Caroline De Geest: « Pour les organisations fort beaucoup de choses changent (voir la question 3). Il se peut par exemple que dans votre école ou établissement des choses structurelles soient adaptées. De nouveaux formulaires, de nouvelles instructions et de nouveaux accords, de nouvelles procédures ou d’autres façons de sécuriser les données. Mais, en principe, rien de change pour vous en tant que personne. Votre employeur attend en effet toujours que vous agissez d’une façon éthique avec les données de vos élèves, résidents, patients ou collègues, mais peut-être cela n’était auparavant pas dit si explicitement. Le soir, fermez la session, ne laissez pas traîner des mots de passe, ne communiquez pas de l’information à des personnes incompétentes, respectez les procédures et les accords connus dans votre établissement ou votre école. La protection de données n’est pas une chose nouvelle. Ce qui est nouveau, c’est le changement de mentalité ! »

 

5. Quelles sont les sanctions lors de fautes?

Caroline De Geest : «  Il n’est pas ainsi que « L’autorité de protection de données » (le nouveau nom pour la Commission de la Vie Privée depuis le 25 mai) fera partir le 26 mai des bus avec des contrôleurs vers toutes les organisations belges pour contrôler si elles appliquent correctement les nouvelles lois. L’intention est d’accompagner les organisations. Qu’est-ce qui marche bien ? Où y a-t-il des lacunes ? Quelles possibilités réalistes existent pour aborder des problèmes et les éliminer ? Les organisations peuvent frapper à notre porte pour de l’avis ou un accompagnement. Les sanctions sont un moyen ultime. Des individus qui font des fautes (perdre un ordinateur portable, partager délibérément des données avec des externes, abuser structurellement des données,…) ne sont pas notre focus primaire. Ils peuvent être abordés par leur employeur ou dans le pire des cas arriver devant un tribunal pénal. Comme je l’ai pourtant déjà dit (voir aussi la question 4) : pour l’individu rien ne change en principe. Le fait que vous pouvez être justiciable quand par exemple vous rendez publiques les données de vos patients, était également déjà possible avant le 25 mai. »

 

6. Est-ce que l’application de cette nouvelle législation ne coûte pas enormément d’argent?

Caroline De Geest : « Pour de petits intervenants cela semble être immédiatement une grande part de leur budget, mais pensez au fait que d’abord et surtout cela coûtera énormément d’argent quand votre système est piraté. Et nous ne parlons alors pas encore du dommage à l’image lors d’une fuite de données. On dit parfois ‘Les données, c’est la nouvelle verdure’. Là où il était longtemps ‘hip’ et ‘hot’ de vous profiler en tant qu’entreprise comme ‘durable et écologique’, les organisations essaient maintenant toujours plus souvent de tirer la carte de la ‘gestion éthique des données’. Nous plaidons aussi pour aborder le thème à une plus grande échelle et nous stimulons les entreprises et des organisations de coordination à collaborer et partager de bonnes pratiques. En ce sens les Frères de la Charité, par l’ampleur de leur échelle, a un avantage considérable. Mais c’est vrai. Il n’y a pas de moyens supplémentaires prévus par les pouvoirs publics belges ou européens. Nous aussi, en tant que Commission de la Vie Privée, devons faire plus avec le même budget et le même nombre de personnes. »

 

7. Est-ce que notre organisation est une cible eventuelle de pirates ?

Caroline De Geest : « Je suppose que les Frères de la Charité gardent à jour un nombre bien grand d’informations sensibles sur des personnes (dont les données médicales)… Ah, chacun pense que les données qu’il garde à jour ne sont pas si intéressantes. Nous devons devenir conscients que la technologie devient de plus en plus intelligente et que les données de différentes sources peuvent être liées toujours mieux. Alors cela devient bien intéressant ! Plus les données sont sensibles, plus elles sont précieuses. Et le chantage est toujours possible. La société elle aussi évolue très vite. Ce qui n’est pas précieux aujourd’hui, peut bien l’être demain ! Les données, c’est le nouveau pétrole. Qui possède des données, a du pouvoir et peut atteindre beaucoup de choses. Pensez par exemple à la fuite de données par Facebook de 80 millions de citoyens américains, qui sont été utilisées pour les élections aux Etats-Unis. Une école supérieure ou une université qui possède les bulletins de tous les élèves de vos écoles secondaires, pourraient leur envoyer de l’information ciblée sur les orientations qu’elles offrent. En soi, c’est quelque chose de positif, mais cela pourrait aussi priver certains groupes d’élèves d’information et cela devient alors une tout autre histoire. Où est encore le propre choix dans ce cas ? »

 

8. Oû dois-je porter plainte quand il y a une fuite de données me concernant ?

Caroline De Geest : « Celui qui a une plainte par rapport à une organisation, un employeur ou une entreprise doit en première instance prendre contact pour parler de sa plainte avec eux. Si vous avez une plainte au travail, parlez-en avec le responsable de la sécurité de l’information de votre école ou établissement. Si vous n’y êtes pas écouté ou si vous n’êtes pas content de la façon de laquelle ils abordent votre plainte, vous pouvez faire plus de démarches, par exemple via la police, la Commission de la Vie Privée ou la justice. »

 

9. Est-ce que la vie complètement privée est encore possible aujourd’hui ?

Caroline De Geest: « Non. Sauf si on est né en secret quelque part dans la jungle où personne ne vous rencontre. (rit) Il en est ainsi que dès que vous vous enregistrez en tant que citoyen, on garde à jour énormément de données à votre sujet. Pensez par exemple à toute l’information qu’un hôpital collecte sur votre enfant dans les premières heures après la naissance. Mais cela vous offre aussi beaucoup d’avantages. En partageant les données avec les pouvoirs publics vous avez par exemple des droits et vous pouvez bénéficier de toutes sortes de choses, comme la sécurité sociale et la pension. Sur les médias sociaux on verra plus souvent la publicité exacte au moment exact. Vos données personnelles vous offrent aussi beaucoup d’avantages sociaux. On peut télécharger certaines ‘apps’ ou devenir membre de réseaux sociaux digitaux. Ces avantages rendent si difficile de résister à la pression sociale. Personnellement, je ne suis pas active sur les médias sociaux et je n’ai nulle part des cartes client. Souvent je dois me justifier pour cela. »

 

10. Pourquoi devons-nous avoir peur de partager nos données personnelles ?

Caroline De Geest : « Beaucoup de gens ont une attitude très laxiste en ce qui concerne leurs données personnelles… jusqu’à ce qu’ils deviennent une victime eux-mêmes et que par exemple l’accès à Tomorrowland leur est refusé parce que, un jour, ils ont fumé un joint à un endroit public. Nous sommes donc séduits par les avantages et nous sommes prêts à assumer les désavantages éventuels, aussi longtemps qu’ils ne nous frappent pas. Les politiciens s’engouent du slogan ‘Celui qui n’a rien à cacher, n’a rien à craindre’. Cela ne veut pourtant pas dire que nous soyons simplement prêts à rendre publique notre vie de ménage. Nous fermons les rideaux chez nous le soir non seulement pour l’ambiance agréable et des jeunes en puberté ne trouvent pas agréable que certains faits dans leur recherche de leur nature sexuelle soient rendus publics. La vie privée est un droit de base. Mais ce n’est pas un droit absolu et donc, dans certaines conditions, les politiciens peuvent y intervenir, pensez par exemple au dépistage de terroristes ‘éventuels’ ou des personnes sans carte de séjour. Mais nous devons quand même faire très bien attention avec cela. Les nazis ont utilisé cette stratégie dans une mesure extrême pour identifier un certain groupe et nous savons tous ce à quoi cela a mené. »

 

Qui est?

Caroline De Geest

• Caroline De Geest est depuis déjà 3 ans le porte-parole de la Commission de la Vie Privée. Auparavant, elle a travaillé pendant 5 ans pour la Ligue des Droits de l’Homme comme conseil juridique vie privée, où elle travaille toujours comme bénévole.
• Elle habite à Gand. Dans ses loisirs elle aime voyager, lire, aller au théâtre ou au cinéma.
• Elle est un ‘produit’ des Frères de la Charité : elle a suivi l’enseignement secondaire à l’Institut Saint-Paul.
• Elle a fini ses études de juriste à l’Université de Gand (2007), a obtenu un ‘Master after Master’ en Criminologie Internationale à Londres (2008) et a suivi une spécialisation en Droits de l’Homme à Nottingham (2010)