A. Lebrun. Principes de protection Commission européenne a statué sur la protection des données personnelles Directive Européenne Institue un groupe de.

Présentation au sujet: "A. Lebrun. Principes de protection Commission européenne a statué sur la protection des données personnelles Directive Européenne Institue un groupe de."— Transcription de la présentation:

1 A. Lebrun

2 Principes de protection Commission européenne a statué sur la protection des données personnelles Directive Européenne Institue un groupe de travail européen dit « groupe article 29 » Constitué par les représentants de chaque autorité de la protection des données

3 Missions du groupe Examiner toute question quant à la mise en oeuvre des dispositions nationales prises en application de la directive 95/46/CE, en vue de contribuer à leur mise en oeuvre homogène; Donner à la Commission européenne un avis sur le niveau de protection des données dans la Communauté européenne et dans les pays en dehors de l'UE; Conseiller la Commission européenne sur tout projet de modification de la directive 95/46/CE, sur tout projet de mesures additionnelles ou spécifiques à prendre pour sauvegarder les droits et libertés des personnes physiques à l'égard du traitement des données, ainsi que sur tout autre projet de mesures communautaires ayant une incidence sur ces droits et libertés; Donner un avis sur les codes de conduite élaborés au niveau communautaire par les organes représentatifs des responsables du traitement. De plus, il informe la Commission européenne des divergences s'établissant entre les législations et pratiques des Etats membres, et susceptibles de porter atteinte à l'équivalence de la protection des personnes à l'égard du traitement des données à caractère personnel dans la Communauté européenne. Le groupe peut également émettre de sa propre initiative des recommandations sur toute question concernant la protection des personnes à l'égard du traitement de données à caractère personnel dans la Communauté. http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm

4 Principe de légitimité Raison légitime pour traiter vos données personnelles Implique que la personne qui veut utiliser vos données doit vous le demander Permis pour : respecter une obligation de service publique ou légale Peut être légitimé s’il n’affecte pas ou peu votre vie privée

5 Principe de finalité Usage des données (y compris images et sons) limité à une finalité explicitement décrite La collecte, l'enregistrement et l'utilisation de vos données personnelles sont strictement limités à ce qui est nécessaire pour atteindre des buts expressément fixés d'avance par l'administration, l'entreprise, l'association, le professionnel ou l'indépendant qui s'y livre.

6 abus Exemple: Suite à un accident de travail, votre employeur souhaite se renseigner sur votre état de santé auprès de votre médecin traitant. Croyant ne rien faire de mal en le rassurant, l'assistante du médecin lui fournit des informations sur le diagnostic établi par le médecin. Réponse: Ce faisant, elle transgresse la finalité pour laquelle le cabinet médical détient ces informations, à savoir assurer vos soins de santé.

7 Principes de nécessité et de proportionnalité Le principe de proportionnalité implique que le traitement doit se limiter à vos données pour lesquelles il existe un rapport direct avec la finalité initiale du traitement. Ces données doivent non seulement être utiles, mais aussi nécessaires pour celui qui traite vos données. Les données traitées ne doivent pas être excessives par rapport au but poursuivi.

8 Abus Lors de la réservation par téléphone d'une table, le gérant de restaurant vous demande de lui fournir le numéro de votre carte de crédit. Réponse: Cette information est à considérer comme excessive par rapport à la finalité poursuivie qui consiste dans la planification des tables disponibles.

9 Principe d'exactitude des données Comme des informations inexactes ou incomplètes peuvent nuire à la personne à laquelle elles se rapportent, tous les efforts doivent être faits pour que les données traitées soient correctes et actuelles. Si ce n'est pas le cas, les données personnelles doivent être rectifiées ou bien effacées. La loi vous protège également contre toute décision négative prise automatiquement par ordinateur, dont vous pourriez faire l'objet sans pouvoir faire valoir votre point de vue personnel.

10 exemple Vous sollicitez un prêt personnel auprès de votre banque pour un achat de mobilier. Après introduction de votre dossier par Internet, vous recevez immédiatement une réponse négative de votre banque qui vous refuse l'octroi du prêt demandé. Il s'avère qu'il n'y a pas eu d'intervention d'un conseiller de banque, mais que la demande a été calculée à l'aide d'un logiciel qui évalue votre demande sur base de statistiques et de ratios préétablis. Réponse: Vous avez alors le droit d'exiger que votre dossier soit réexaminé, et ce sur base d'une entrevue avec votre conseiller de banque qui devra vous recevoir pour écouter votre argumentation. Lors de cet entretien, vous pouvez faire valoir de façon plausible que, par exemple, votre situation financière s'est récemment améliorée grâce à un héritage. Il se pourrait même que certains chiffres pris en compte soient inexacts ou qu'il y ait confusion avec un homonyme surendetté.

11 Principe de loyauté La collecte, l'enregistrement, l'utilisation et la transmission de vos données personnelles doivent se faire de bonne foi, et non pas à votre insu. En outre, vos données doivent être effacées ou rendues anonymes le plus rapidement possible. L'utilisation ultérieure de vos données personnelles à des fins autres que celles initialement prévues est en principe interdite.

12 exemple Votre supermarché vous propose une carte de fidélité pour vous faire profiter de remises spéciales lors de vos achats ou d'une ristourne en fin d'année. Lors de vos futurs passages en caisse, le contenu de votre panier d'achat est enregistré et sert à établir un profil de consommation dont l'évolution sera régulièrement observée. Réponse: Si cela se fait à votre insu et si vous n'en avez pas été informé au moment d'y souscrire, le principe de loyauté est violé.

13 Principe de sécurité et de confidentialité Vos données personnelles doivent être traitées de manière confidentielle et être stockées à des endroits et sur du matériel sûrs. Celui qui traite vos données engage sa responsabilité en cas de non-respect de ce principe. Cette obligation lui incombe aussi en ce qui concerne le comportement de ses collaborateurs et doit être prise en compte dans les contrats conclus avec les sous-traitants (notamment les prestataires de services) et dans le choix des équipements techniques (dans le cadre de la sécurité informatique).

14 Principe de transparence La loi vous garantit l'information nécessaire relative aux traitements auxquels sont soumises des données vous concernant et vous assure la possibilité d'un contrôle personnel. Celui qui souhaite traiter vos données personnelles devra vous avertir respectivement dès la collecte des données et en cas de transmission de vos données à des tiers. Vous avez le droit de demander des renseignements quant aux données personnelles enregistrées et quant à leur utilisation ainsi que de faire effacer des informations dont le traitement ne serait pas conforme à la loi. L'enregistrement des bases de données auprès de la Commission nationale contribue à la transparence. Ce registre public des traitements de données personnelles peut être consulté sur son site Internet.consulté

15 exemple Exemple: Étant donné que vous êtes régulièrement épuisé, votre médecin traitant vous prescrit une analyse de sang afin de déterminer les causes de votre fatigue. La prise de sang est réalisée par un laboratoire externe qui transmet les résultats de cette analyse à votre médecin. Il s'avère qu'un dépistage HIV a été réalisé à votre insu. Réponse: Ceci constitue une transgression des principes de transparence et de loyauté.

16 Données sensibles sont soumises à une protection renforcée Le traitement d'informations vous concernant qui font apparaître vos opinions et convictions ou qui sont en rapport avec votre état de santé et votre vie sexuelle, y compris vos données génétiques, est interdit, hormis certaines exceptions énumérées de façon limitative par la loi. Les traitements se faisant dans le cadre de ces exceptions doivent, dans la plupart des cas, être notifiés à la Commission nationale. Les traitements de données génétiques doivent même être expressément autorisés par la Commission nationale. notifiés autorisés

17 Exemple Lors d'un entretien d'embauche, le directeur des ressources humaines de l'entreprise auprès de laquelle vous postulez vous pose des questions relatives à votre opinion au sujet du financement des retraites et aux points de vue respectifs des partis politiques à ce sujet. Parallèlement, il vous signale qu'il tient un relevé des salariés membres de syndicats. Réponse: Recueillir des informations de cette nature est normalement interdit par la loi.

18 Surveillance des personnes est strictement limitée Une autorisation de la Commission nationale pour la protection des données est en principe nécessaire avant de recourir à des moyens techniques pour surveiller des personnes, notamment par caméra vidéo, traçage informatique, etc. Le traitement de vos données personnelles ainsi recueillies n'est possible que dans des cas de figure bien précis, énumérés par la loi. Ceci inclut la surveillance dans les lieux publics, les moyens de transport et les centres commerciaux ainsi que sur votre lieu de travail. Dans ce dernier cas, elle ne pourra se faire que si vous-même, respectivement le comité mixte, la délégation du personnel ou l'Inspection du travail et des mines avez été informés au préalable.

19 Exemple Vos conversations téléphoniques sont enregistrées par votre entreprise sans que vous en ayez été averti auparavant. Réponse: Ceci est contraire au principe de transparence. Par ailleurs, l'employeur doit disposer de l'autorisation de la Commission nationale pour la protection des données à qui il appartient de vérifier la légitimité et la proportionnalité d'une telle pratique.

20 Utilisation pour démarchage est soumise à votre autorisation expresse Vous pouvez à tout moment interdire l'utilisation de vos données personnelles à des fins commerciales. Le marketing direct à l'aide des moyens de communication modernes (SMS, e-mail, etc.) est en principe interdit si vous n'y avez pas marqué votre accord.

21 Vous êtes assailli de courrier publicitaire personnalisé. Vous pouvez demander aux magasins et sociétés commerciales d'arrêter l'envoi de ces courriers. Il s'avère que le commerçant a reçu votre adresse par votre club sportif qui lui a transmis les coordonnées personnelles de tous les membres du club dont il est le sponsor. Le club sportif n'aurait pas dû communiquer son fichier de membres alors que les données qui y figurent devaient servir exclusivement à la gestion du club et à l'organisation de ses activités. Réponse: Le détournement de finalité constitue une utilisation illicite de données personnelles qui est punie par la loi.

22 Actualités 09-11-2010 La Commission européenne vient de publier ses orientations stratégiques concernant la révision de la Directive 95/46/CE sur la protection des données personnelles. Ce texte reprend plusieurs points déjà évoqués publiquement par Viviane Reding, commissaire européenne chargée de la justice, des droits fondamentaux et de la citoyenneté.

23 Modernisation de la Directive 95/46/CE L’actuelle directive de l’UE doit être mise à jour pour tenir compte de l’évolution technologique rapide et de la mondialisation, qui ont modifiées en profondeur notre environnement et nous posent de nouveaux défis en matière de protection des données à caractère personnel. Le processus de révision a été lancé en 2009. Les résultats obtenus lors de la consultation publique clôturée fin 2009 et de plusieurs études montrent que les principes fondateurs de la directive de 1995 restent pertinents, mais qu’elle nécessite une refonte. Elle a été élaborée avant la démocratisation d’Internet, le développement des réseaux sociaux, l’apparition de nouvelles technologies comme la géolocalisation ou les puces RFID, la vidéosurveillance, le Cloud Computing et la publicité comportementale en ligne.

24 Parvenir à une amélioration de la protection des données personnelles et leur contrôle par les citoyens La Commission européenne souhaite que la collecte et le traitement des données soient limités à des finalités bien précises et au minimum requis (principe de la minimisation des données). Les responsables de traitement doivent informer les personnes concernées correctement et clairement, en toute transparence, afin qu’elles sachent qui recueillera et traitera leurs données, selon quelles modalités, pour quels motifs et pendant combien de temps. Ils doivent également veiller à ce que les citoyens connaissent leurs droits en ce qui concerne l’accès à leurs données, leur rectification ou leur suppression. Une autre mesure visant une responsabilisation accrue des responsables de traitement est l'instauration d'une notification obligatoire des violations aux traitements de données. Lors d’une session de navigation sur Internet, les utilisateurs devraient être en mesure de donner leur « consentement éclairé » au traitement des données les concernant et de bénéficier du « droit à l’oubli » lorsque ces informations ne sont plus nécessaires ou qu’ils en demandent la suppression. Dans ce contexte, la Commission étudiera les moyens permettant d’améliorer les modalités d’un véritable exercice des droits d’accès, de rectification et de suppression.

25 Le renforcement de la dimension « marché unique » La Commission étudiera par ailleurs les moyens de pousser plus loin l’harmonisation des règles de protection des données au niveau de l’UE. Les disparités qui caractérisent actuellement la mise en oeuvre des règles européennes relatives à la protection des données et le défaut de clarté quant au pays dont les règles s’appliquent entravent la liberté de circulation des données à caractère personnel entre les États membres au sein du marché intérieur et majorent les coûts. La simplification de ce système permettrait de réduire considérablement la charge administrative. À ceci s’ajoutent les efforts de la Commission européenne de responsabiliser davantage les responsables du traitement afin qu’ils mettent en place des politiques et mécanismes efficaces pour assurer le respect des règles en matière de protection des données. À cet égard, la promotion de l’utilisation des technologies d’amélioration de la confidentialité (« PET : Privacy Enhacing Technologies »), ainsi que la prise en compte du principe du respect de la vie privée dès la conception (« Privacy by design ») pourraient jouer un rôle important.

26 La révision des règles relatives à la protection des données dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale Le traité de Lisbonne permet désormais à l’Union européenne de définir les règles en matière de protection des données, applicables à tous les domaines d’action, dont la coopération policière et judiciaire en matière pénale. Le réexamen de la directive a montré que la conservation des données à des fins répressives devrait aussi relever du nouveau cadre légal. C’est pourquoi la Commission revoit aussi la directive de 2006 sur la conservation des données qui impose aux sociétés de stocker les données relatives au trafic de télécommunication pour une durée comprise entre six mois et deux ans.

27 L’amélioration des procédures applicables aux transferts internationaux de données Dans le cadre de données transférées en dehors de l’UE, la Commission veut améliorer et rationaliser les procédures actuelles, y compris les instruments juridiquement contraignants et les « règles d’entreprise contraignantes » (« BCR : Binding Corporate Rules »), afin de parvenir à une approche de l’UE plus uniforme et cohérente à l’égard des pays tiers et des organisations internationales. La Commission européenne a annoncé un contrôle plus effectif de l’application des règles en renforçant et en harmonisant davantage le rôle et les pouvoirs des autorités chargées de la protection des données comme la CNPD et du groupe de travail européen « Article 29 ».

28 Consultation publique sur l’ « avenir de la vie privée » Le projet de réexamen a fait l’objet d’une consultation publique dans laquelle la Commission européenne invite les citoyens, organisations et autorités publiques à commenter ce document stratégique (WP 168) adoptée le 1 décembre 2009 et à apporter leurs contributions jusqu’au 15 janvier 2011. Sur cette base, la Commission européenne travaille à la mise en place d’un nouveau cadre général régissant la protection des données, que le Parlement européen et le Conseil devront ensuite négocier et adopter.

29 Comment rester anonyme sur le net Arnaud Lafontaine a écrit un mémoire sur ce sujet Prendre une identité virtuelle (achats, facbook,…) Se déconnecter des sites visités (google, ebay,…) Configurer son navigateur (firefox par ex) Utiliser des moteurs de recherche anonyme (Strat page, duck duck go)

30 OCDE Le groupe de travail de l’OCDE sur la sécurité de l’information et la vie privée (WWW.OECD.org/sti/Securitevieprivee) veut promouvoir une approche coordonnée afin de faciliter le commerce électroniqueWWW.OECD.org/sti/Securitevieprivee Elaboration de politiques de protection des infrastructures d’information critique Identité numérique des personnes physiques et authentification électronique Logiciels malveillants (malware)

31 suite Réseaux à bases de capteurs Identification par RFID Lignes directrices OCDE sur la vie privée Protection des enfants dans le cyberespace L’application transfrontalière des lois de protection de la vie privée Font des publications régulières sur ces thèmes

32 Conclusion Beaucoup de craintes sur l’avenir de la vie privée Sujet qui produit beaucoup de documents et recommandations