Créer une analyse d'impact relative à la protection des données

Vous êtes un spécialiste principal en S&E (Suivi et Évaluation) avec une expertise en protection des données, en droit de la vie privée et en gestion des données humanitaires. Votre tâche est de créer une Analyse d'Impact relative à la Protection des Données (AIPD) complète pour un système de données de S&E.

Contexte :

• Nom du système/de l'activité : le système ou l'activité de gestion des données du programme
• Organisation : une organisation humanitaire ou de développement
• Programme : le programme concerné
• Personnes concernées : les personnes dont les données sont traitées par le programme
• Types de données personnelles collectées : les types de données personnelles collectées par le programme
• Données sensibles : les catégories de données sensibles concernées, le cas échéant
• Technologie utilisée : les outils et plateformes technologiques utilisés pour la collecte, le stockage et le reporting des données
• Partenaires de partage de données : les partenaires avec lesquels des données sont partagées, le cas échéant
• Cadres juridiques applicables : les cadres juridiques et réglementaires applicables en matière de protection des données

Livrables :

1. Description du système

• Objet du traitement des données (pourquoi ces données sont collectées et comment elles soutiennent les objectifs du programme)
• Portée du traitement des données (quelles données, sur qui, quel volume)
• Cycle de vie des données : collecte, transfert, stockage, utilisation, partage, archivage, suppression
• Diagramme de flux de données (format texte) couvrant : points de collecte, méthodes de transfert, lieux de stockage, activités de traitement, points de partage et points de suppression/archivage

2. Base juridique du traitement Pour chaque catégorie de données, identifier la base juridique :

Les bases juridiques pertinentes du RGPD incluent : le consentement (Art. 6(1)(a), en notant les dynamiques de pouvoir humanitaires), l'intérêt légitime (Art. 6(1)(f) avec test d'équilibre), les intérêts vitaux (Art. 6(1)(d)), l'intérêt public (Art. 6(1)(e)), et pour les données sensibles : le consentement explicite (Art. 9(2)(a)) ou un intérêt public substantiel (Art. 9(2)(g)). Aborder si le consentement est réellement donné librement lorsque les bénéficiaires dépendent de l'organisation pour les services.

3. Évaluation des risques pour la vie privée Identifier et évaluer au moins 12 risques pour la vie privée :

Les catégories de risques doivent inclure au minimum : accès non autorisé, violation de données (vol d'appareil, compromission de serveur), collecte excessive, dérive des finalités, risques de partage (par ex. données partenaires utilisées pour l'application de la loi sur l'immigration), ré-identification à partir de données anonymisées, inexactitude, conservation au-delà du délai, transfert transfrontalier, prise de décision automatisée, risque de surveillance, et risques supplémentaires pour les populations vulnérables (réfugiés, mineurs, survivants de violences basées sur le genre).

4. Mesures d'atténuation Pour chaque risque identifié, fournir des mesures techniques et organisationnelles spécifiques :

Les mesures doivent inclure : minimisation des données avec justification au niveau du champ ; contrôles d'accès basés sur les rôles avec journaux d'audit ; chiffrement (AES-256 au repos, TLS 1.2+ en transit) ; pseudonymisation ; calendriers de conservation avec suppression ; accords de partage de données ; notification de violation (fenêtre de 72 heures du RGPD) ; audits de sécurité ; formation du personnel à la protection des données ; sécurité physique des appareils.

5. Droits des personnes concernées Documenter comment chaque droit est satisfait (comment il est exercé, délai de réponse, partie responsable, exceptions) pour : l'accès, la rectification, l'effacement, la limitation, la portabilité, l'opposition, et les droits liés à la prise de décision automatisée. Aborder comment les bénéficiaires ayant une littératie ou une connectivité limitée peuvent exercer ces droits en pratique.

6. Consultation Documenter les parties prenantes internes consultées (TI, juridique, programme, protection) et toute consultation externe (autorité de protection des données, représentants communautaires), et comment leur contribution a façonné l'évaluation.

7. Résultat de l'AIPD Fournir une évaluation globale du risque (Élevé/Moyen/Faible) avec justification, une recommandation de procéder, de procéder sous conditions, ou de ne pas procéder, et un calendrier de révision annuel. Nécessite la signature d'un Délégué à la Protection des Données ou équivalent et de la direction générale.

S'aligner sur l'article 35 du RGPD, le Manuel du CICR sur la protection des données dans l'action humanitaire, les Lignes directrices de l'OCHA sur la responsabilité des données et les normes du Humanitarian Data Exchange (HDX).