Qu’est-ce que l’évaluation des incidences sur la vie privée ?
Les évaluations des incidences sur la vie privée (EIVP) sont de plus en plus importantes lorsqu’il s’agit de traiter des données sensibles. Une évaluation des incidences sur la vie privée est un processus d’évaluation qui permet d’identifier et de traiter les problèmes potentiels de protection de la vie privée liés à un système, un projet ou un traitement de données unique. Il s’agit de comprendre la portée d’un projet ou d’une conception, de collecter des informations sur l’utilisation prévue de toute donnée personnelle ou sensible, de vérifier que les mesures techniques et organisationnelles nécessaires sont en place et de permettre aux individus de faire valoir leurs droits concernant les données collectées.
Un programme complet aide les organisations à se conformer aux législations nationales, fédérales et internationales en vigueur et à maintenir la confiance entre employeurs, employés, clients et fournisseurs. Il ne suffit pas de stocker les données en toute sécurité : les entreprises doivent être en mesure d’expliquer à toutes les personnes concernées comment leurs informations privées sont utilisées. La prise en compte de ces considérations donne aux organisations un avantage concurrentiel et garantit le traitement éthique de toutes les parties concernées.
En quoi l’EIVP et l’AIPD sont-elles différentes ?
Une évaluation des incidences sur la vie privée (EIVP) aide les organisations à donner la priorité à la protection de la vie privée dès le début du lancement d’une nouvelle entreprise, de l’introduction d’un nouveau produit ou de l’acquisition d’une entreprise existante.
De même, étant donné que le traitement des données personnelles a lieu en permanence au sein d’une organisation et que les risques évoluent continuellement en raison des changements technologiques et d’autres facteurs, les analyses d’impact sur la protection des données (AIPD) doivent être réalisées en permanence. Outre le fait qu’elle est essentielle pour les stratégies de gestion des risques des entreprises, la réalisation d’une AIPD est également obligatoire selon le Règlement général sur la protection des données (RGPD) .
Qu’est-ce qui n’est pas une AIPD ?
Voici quelques-unes des idées fausses sur les EIP :
- Une liste de contrôle superficielle des exigences légales
- Un événement ponctuel
- Un outil de marketing qui ne montre que les avantages d’un projet
- Justification des politiques ou pratiques existantes
- Un processus long, compliqué et gourmand en ressources
Quand une AIPD est-elle nécessaire ?
La directive sur l’évaluation des facteurs relatifs à la vie privée exige que les organisations réalisent des AIPD chaque fois que les renseignements personnels d’une personne risquent d’être touchés par un programme ou une activité. Voici quelques activités qui nécessiteraient une AIPD :
- L’utilisation des données des individus dans un processus décisionnel qui les concerne directement.
- Une modification importante des services ou activités existants qui impliquent l’utilisation de données à caractère personnel à des fins administratives (ce qui signifie essentiellement qu’elle s’inscrit dans le cadre d’un processus décisionnel ayant des implications directes sur l’individu).
- Des modifications de fond chaque fois que le gouvernement souhaite transférer des programmes ou des activités à d’autres niveaux de gouvernement ou à des entités privées.
Que doit comprendre une AIPD?
Pour produire un rapport complet, pensez à inclure les éléments suivants :
- Une description du programme ou de l’activité prévue et de ses objectifs
- Une évaluation de la conformité de votre programme en matière de protection de la vie privée et des incidences potentielles sur la vie privée.
- La conformité avec la Loi sur la protection des renseignements personnels, les politiques, directives et lignes directrices applicables, ainsi que les meilleures pratiques pour minimiser les impacts
Comment faire une évaluation des facteurs relatifs à la vie privée ?
Suivez ces étapes pour un processus d’évaluation des facteurs relatifs à la vie privée efficace :
Étape 1 : Effectuer une évaluation des seuils
La première étape du processus d’évaluation des facteurs relatifs à la vie privée est une évaluation du seuil dans laquelle les organisations déterminent si leur programme ou leur activité relève de la Loi sur la protection des renseignements personnels et nécessite une évaluation des facteurs relatifs à la vie privée.
Numérisez votre façon de travailler
Étape 2 : Planifier l’AIPD
Une fois que vous avez terminé votre évaluation des seuils, il est temps d’organiser la façon dont vous allez mener votre évaluation. Lorsque vous élaborez le plan de cette tâche essentielle, tenez compte des points suivants :
- Quels sont les critères d’évaluation du projet ?
- Où l’AIPD s’insère-t-elle dans le plan et les échéanciers du projet ?
- Quelles sont les ressources disponibles et qui la réalisera ?
- Quels seront le calendrier et l’étendue des consultations des parties prenantes ?
- Quelles mesures seront prises après l’AIPD, y compris la mise en œuvre des recommandations et le maintien du suivi ?
Étape 3 : Décrire le projet
Une compréhension distincte de l’objectif du projet est une base essentielle pour tout le reste de la procédure d’évaluation. La réalisation d’une évaluation des incidences sur la vie privée vous aidera à identifier la manière la plus respectueuse de la vie privée de concevoir un projet qui atteigne ses objectifs. Voici les différentes informations à inclure :
- La personne responsable du projet
- Livrables du projet
- Ses objectifs
- Avantages pour l’agence ou la communauté
- L’implication d’un programme dans le projet
Étape 4 : Identifier et consulter les parties prenantes
Il est important de parler aux parties prenantes qui seront affectées par le projet ou qui s’y intéressent. Grâce à leur expérience et à leur expertise, ils seront en mesure d’identifier les impacts sur la vie privée et les solutions. En fonction du projet, vous pouvez consulter les éléments suivants :
- Parties prenantes internes – Du secteur des TI et de la sécurité des données au personnel juridique et aux équipes chargées des achats, ainsi qu’aux employés qui seront en contact direct avec les clients lors de l’utilisation du nouveau système ou de la nouvelle politique.
- Parties prenantes externes – Agences gouvernementales, fournisseurs, clients, organisations non gouvernementales, groupes de pression et membres du public.
Étape 5 : Cartographier le flux d’informations personnelles
L’identification des types d’informations personnelles concernées et leur traitement est essentielle à la réussite de ce projet. Il doit comprendre les éléments suivants :
- Quelles sont les informations qui seront collectées, d’où proviennent-elles et comment le seront-elles ?
- Qui y aura accès, comment sera-t-il stocké et quelles mesures de protection seront mises en place ?
- Qui utilisera les informations personnelles, et à quelles fins ?
- Quel est le but de la divulgation systématique d’informations personnelles, et à qui s’adresse-t-elle ?
- Comment les personnes peuvent-elles accéder à leurs informations personnelles et les modifier ?
- Quelle est la durée de conservation des informations ?
Étape 6 : Identifier les impacts sur la vie privée
Pour déterminer s’il existe des risques pour la vie privée, vous devez vérifier comment le projet traite les informations personnelles. Il s’agit notamment de vérifier si le projet respecte les principes de confidentialité.
- Agences non sanitaires : Principes de confidentialité des informations
- Agences de santé : Principes nationaux de protection de la vie privée (par ex, Loi sur la portabilité et la responsabilité en matière d’assurance maladie )
- Toutes les agences doivent se conformer à la réglementation stricte concernant l’exportation de données personnelles en dehors de l’Europe.
- Toutes les agences doivent prendre toutes les mesures nécessaires pour garantir que les principes de protection de la vie privée s’imposent à leurs prestataires de services sous contrat.
Étape 7 : Identifier les risques d’atteinte à la vie privée et les options pour y remédier
Après avoir identifié les risques pour la vie privée, il est essentiel de décider des mesures à prendre pour les atténuer. Dans certaines situations, il y aura plusieurs solutions. Dans ce cas, vous devrez évaluer les coûts associés à chaque option ainsi que leurs avantages et leurs inconvénients et les risques pour déterminer celui qui convient le mieux.
Vous trouverez ci-dessous des options qui peuvent vous aider à résoudre les problèmes de confidentialité :
- Contrôles opérationnels – politiques et procédures, formation du personnel ou stratégies de communication (par exemple, avis de recouvrement)
- Les contrôles techniques – tels que les contrôles d’accès, le cryptage et les modifications de conception
- Contrôles physiques – comme les portes ou les serrures
Étape 8 : Produire un rapport d’AIPD
Préparez le rapport contenant les détails suivants :
- Décrire les flux d’information du projet
- Fournir un résumé des impacts sur la vie privée (positifs et négatifs) en fonction des principes de protection de la vie privée.
- Donner des recommandations pour supprimer ou atténuer les risques pour la vie privée
- Décrire les processus de consultation entrepris
- Déterminez si l’analyse doit être révisée pendant le projet.
Étape 9 : Répondre et réviser
Les parties prenantes doivent examiner et approuver l’AIPD complétée. L’équipe de projet doit élaborer un plan d’action et un calendrier pour traiter tous les risques ou recommandations. Cela pourrait impliquer une consultation supplémentaire avec les parties prenantes, la formation du personnel, la révision des procédures ou la mise en œuvre de contrôles supplémentaires de la vie privée.
L’AIPD doit être révisée régulièrement au cours du projet afin de s’assurer qu’elle reflète tout changement concernant les questions de confidentialité. Les AIPD doivent être mises à jour si le projet subit des changements importants.
FAQ sur l'analyse d'impact relative à la protection des données
Avant de traiter quoi que ce soit qui suggère un « risque élevé », vous devez effectuer une analyse d’impact relative à la protection des données. Même si le niveau réel de danger n’est pas encore connu, il est nécessaire de rechercher les éléments susceptibles d’entraîner de graves répercussions ou de nuire aux individus à grande échelle.
Une évaluation des incidences sur la vie privée devrait être déclenchée chaque fois qu’il est proposé de collecter, d’utiliser, de stocker ou de divulguer de manière inhabituelle des informations personnelles qui pourraient mettre en danger la vie privée d’une personne. Elle se produit généralement lorsqu’une organisation introduit ou modifie des processus, des systèmes, des technologies ou des pratiques impliquant des données personnelles.
En vertu du règlement général sur la protection des données (RGPD), l’AIPD doit donner la priorité aux droits et à la liberté des données d’une personne. Pour s’assurer que ces objectifs sont atteints, il est essentiel d’envisager d’impliquer l’évaluation des incidences sur la vie privée pendant tout le cycle de vie du projet, du début à la fin. Les risques potentiels pour la vie privée doivent être identifiés à un stade précoce et traités avant la publication ou la mise en production d’un projet.
Idéalement, un système devrait être audité une fois tous les trois ans, sans aucun changement, afin de garantir l’exactitude et la la sécurité. Toutefois, lorsque des modifications importantes sont apportées à un système, l’évaluation des facteurs relatifs à la vie privée qui lui est associée doit également être ajustée afin de s’assurer que les informations ne sont pas compromises.
