Le Covid-19 a créé des défis sans précédent pour les organisations du monde entier. En peu de temps, les organisations ont dû mettre en place rapidement des opérations à distance, réagir rapidement aux nouveaux risques, adapter les processus, tout en maintenant la conformité au GDPR.
En raison de la pandémie, les organisations collectent et traitent désormais de nouveaux types d'informations sur les individus. La plupart de ces informations entrent dans les catégories de "données personnelles" et de "catégories spéciales de données personnelles", qui sont toutes deux soumises à des exigences de conformité strictes en vertu du GDPR.
La transition rapide vers le travail à distance a également mis en évidence l'importance de la protection des données, les cybercriminels cherchant à exploiter cette pandémie et à l'utiliser comme moyen de lancer des attaques ciblées. De nouveaux risques liés à la cybersécurité émergent en permanence. Il est donc crucial que les organisations mettent en œuvre les mesures correctes nécessaires pour maintenir la sécurité des données la plus stricte, comme l'exige le GDPR.
Le Bureau du Commissaire à l'information du Royaume-Uni (ICO) a déclaré qu'il comprenait les difficultés auxquelles les organisations sont actuellement confrontées et qu'il adopterait une approche "raisonnable et pragmatique" pour faire respecter les obligations en matière de protection des données. Cependant, l'ICO a clairement indiqué que les organisations sont toujours censées maintenir un bon niveau de conformité avec le GDPR tout en s'adaptant à ce nouvel environnement de travail.
Pour garantir que votre organisation reste conforme au GDPR pendant Covid-19, nous avons présenté un certain nombre de mesures que vous pouvez prendre.
Principaux conseils pour assurer la conformité au GDPR pendant le Covid-19
1. Réaliser une analyse d'impact sur la protection des données (DPIA)
Pour vous conformer au GDPR, vous devez être en mesure de démontrer que vous effectuez des enregistrements supplémentaires lorsque vous traitez des données sensibles. Les informations de santé étant classées comme une "catégorie spéciale de données personnelles", elles comportent un risque plus élevé. Une façon de démontrer la responsabilité et de s'assurer que les mesures appropriées sont en place pour protéger ces données est de procéder à une évaluation d'impact sur la protection des données. Les évaluations d'impact sur la protection des données aident à identifier et à minimiser les risques liés au traitement des données personnelles.
Le DPIA doit exposer :
- L'activité en cours de traitement
- Les risques liés à la protection des données
- Si l'activité est nécessaire et proportionnée
- Comment les risques seront atténués
- Confirmation que les mesures d'atténuation ont été efficaces
Le DPIA sera crucial pour démontrer la conformité et réduire les risques liés à la protection des données pour votre organisation.
2. Ne recueillir et ne traiter que ce qui est nécessaire
En vertu du GDPR, les organisations doivent avoir une raison spécifique et légitime pour collecter et traiter des informations personnelles. Les données ne peuvent être utilisées qu'à des fins spécifiques et ne doivent pas être traitées à d'autres fins, sauf si la personne concernée a donné son consentement explicite. Toute donnée collectée doit être limitée à ce qui est nécessaire pour atteindre ces objectifs spécifiques.
Cela signifie que votre organisation doit évaluer et identifier les types de données à caractère personnel qui doivent être traitées afin d'assurer la sécurité du personnel. Par exemple, est-il nécessaire d'effectuer des contrôles de température lorsque les employés entrent dans le bureau ? Faut-il informer les contacts d'un employé dont le test de dépistage du Covid-19 est positif ? Votre organisation ne peut pas se contenter de collecter des données à caractère personnel au cas où elles pourraient être utiles à l'avenir, il doit y avoir des objectifs clairs quant à la raison pour laquelle ces données sont traitées. Si vous pouvez démontrer que votre approche est raisonnable, équitable et proportionnée aux circonstances, il est peu probable qu'elle soit illégale.
3. Soyez transparent
Lorsque vous traitez des données personnelles, vous devez être ouvert et honnête sur ce que vous en faites. Par exemple, si votre organisation doit mettre en place des tests pour les employés ou si vous devez collecter des données à des fins de recherche de contacts, vous devez être transparent et mettre certaines informations à la disposition de ces personnes. Les employés ont le droit de savoir pourquoi vous avez besoin de ces données, ce que vous comptez en faire et avec qui vous allez les partager.
Il est préférable que ces informations soient consignées par écrit dans un document appelé "avis de confidentialité". Un avis de confidentialité est l'un des documents clés que vous devrez produire si vous traitez des données personnelles, afin de vous conformer au GDPR. Essentiellement, il explique comment vous collectez, traitez et utilisez les données des personnes. Il se peut que votre avis de confidentialité existant décrive déjà les informations qui peuvent être collectées et traitées pendant une crise sanitaire, mais il peut être nécessaire de le mettre à jour pour refléter les nouvelles activités de traitement des données qui sont entreprises pendant la pandémie actuelle de Covid-19.
4. Assurer la sécurité des informations
Toutes les données personnelles que vous détenez doivent être conservées en toute sécurité et uniquement pendant la durée nécessaire. Une politique de conservation aidera à déterminer quand les informations personnelles doivent être examinées, supprimées ou éliminées. Les documents physiques doivent être mis sous clé pour éviter toute violation des données, et des mesures de sécurité appropriées doivent être mises en place pour sécuriser les données personnelles stockées sous forme numérique.
Malgré la transition rapide vers le travail à distance, l'ICO a déclaré que les organisations devraient adopter le même type de mesures de sécurité qu'elles utiliseraient dans des circonstances normales. Pour éviter toute violation des données personnelles et réduire le risque d'une cyberattaque coûteuse, il est important de maintenir la sécurité des systèmes et des logiciels et de rester vigilant face aux cybermenaces liées au coronavirus. Les employés devront également être informés de l'évolution des menaces et formés à l'utilisation des nouveaux outils et processus de sécurité qui permettront de sécuriser le travail à distance.
En outre, les organisations sont toujours légalement tenues de divulguer toute violation de données personnelles à l'autorité de surveillance compétente dans les 72 heures suivant la détection.
5. Respecter les droits de la personne concernée
Même si elle opère dans des circonstances exceptionnelles, il est crucial que votre organisation informe les individus de leurs droits en ce qui concerne leurs données personnelles. Le GDPR prévoit les droits suivants pour les individus :
- Le droit d'être informé - Les personnes ont le droit d'être informées de la collecte et de l'utilisation de leurs données personnelles.
- Le droit d'accès - Les personnes ont le droit d'accéder à leurs données personnelles et à toute information supplémentaire. Ils peuvent demander une copie de toutes les informations détenues à leur sujet et celle-ci doit être fournie gratuitement et dans un délai d'un mois à compter du dépôt de la demande.
- Le droit de rectification - Les personnes peuvent demander que toute donnée personnelle inexacte soit rectifiée.
- Le droit à l'effacement - Les personnes peuvent demander l'effacement de leurs données personnelles. Le droit à l'effacement est également connu sous le nom de droit à l'oubli.
- Le droit de restreindre le traitement - Dans certaines circonstances, les personnes peuvent demander que le traitement ultérieur de leurs données soit restreint. Lorsque le traitement est limité, vous avez la permission de stocker leurs données personnelles mais pas de les utiliser.
- Le droit à la portabilité des données - Les personnes peuvent obtenir et réutiliser leurs données personnelles à leurs propres fins dans d'autres services.
- Le droit d'opposition - À moins qu'il n'existe des raisons légitimes de traiter les données personnelles d'une personne, celle-ci conserve le droit de s'opposer au traitement.
- Droits relatifs à la prise de décision automatisée et au profilage - Le GDPR comporte des dispositions relatives à la prise de décision individuelle automatisée. Cela réduit le risque que des décisions défavorables soient prises sans intervention humaine.
Si votre organisation a mis en place une vérification ou un test des symptômes, vous devrez respecter des exigences supplémentaires. Il s'agit notamment d'identifier une base légale pour l'utilisation des informations que vous collectez et d'effectuer une évaluation des risques pour la santé publique si les données relatives à la santé sont traitées à grande échelle.
