Partie 1 : Levée de Bouclier face à l'hébergement par Microsoft du Health Data Hub

 

©Copyright, Accessnow.org, 201

Mis en service le 2 décembre 2019, le Health Data Hub (HDH) est la nouvelle plateforme numérique des données médico-administratives françaises. Le 16 juillet 2020, un accord de confiance entre l'Union européenne et les États-Unis est révoqué, le "Privacy Shield" ou "bouclier de protection des données". Or, le Health Data Hub, est hébergé par Microsoft, une entreprise américaine soumise au droit fédéral des États-Unis. A la suite de cette décision,  la place de Microsoft est en question, l'interrogation sur la sécurité des données demeure et une clarification s'impose.

Le  14 octobre 2020, Conseil d’État appelé à juger sur le maintient du Health Data Hub, notait que "la Plateforme des données de santé et Microsoft se sont engagés, par contrat, à refuser tout transfert de données de santé en dehors de l'Union européenne"[1]. Le Conseil d’État a alors suggéré qu'en l'absence "d'illégalité grave et manifeste qui justifierait une suspension immédiate de la plateforme", Microsoft reste en charge de l’hébergement du Health Data Hub. Il rajoute pourtant que cela sera : "dans l'attente d'une solution qui permettra d'éliminer tout risque d'accès aux données personnelles par les autorités américaines."

Le risque de transfert des données vers les États-Unis n'est pas un élément nouveau à la connaissance des pouvoirs publics. La loi américaine en question, le "CLOUD Act" date de mars 2018[2]. Cette loi, "Clarifying Lawful Overseas Use of Data", donne la capacité au gouvernement fédéral  d'accéder aux données des clients de toute entreprise américaine. Elle est conçue comme une loi anti-terrorisme et anti-corruption visant à garantir la sécurité de l’État américain.  Nouveau jalon, elle vient s’inscrire en filiation intellectuelle deux lois qui la précèdent. La première, le Foreign Corrupt Practice Act de 1977, qui autorise le gouvernement américain à avoir accès aux données commerciales des entreprises américaines sur son territoire et à l'étranger [3]. La seconde, est le USA Patriot Act du 26 octobre 2001, une réponse immédiate aux attentats du World Trade Center. Celle-ci autorise le gouvernement fédéral américain à utiliser tous les outils jugés appropriés pour avoir accès aux données d'une personne privée ou morale, qu'elle se trouve sur le territoire américain ou non [4].

Coté européen, le Privacy Shield date, lui, du 12 juillet 2016 et définit les conditions de transferts des états membres de l'Union européenne vers des états tiers [5]. L'article 25 de ce décret pose les bases de ces échanges de données. Il y est établit que l'état tiers devra pouvoir garantir la protection des données et des droits de l'individu citoyen des état membres de l'Union. Mais aussi que ces échanges de données se feront dans le respect des lois commerciales et nationales en vigueur dans ce pays tiers. Dans cette même section, il est rappelé la décision 2000/520/CE ou "Safe Harbour Privacy Principles" [6] qui doit garantir un "niveau adéquat de protection pour les données personnelles transférées à partir de l'Union européenne à destination d'organisations établies aux États-Unis" [traduit de l'anglais]. 

Ces éléments définissent les contraintes sur les entreprises étrangères américaines et leurs obligations vis-à-vis de l'Union européenne. Pour comprendre la décision de la CJUE, quatre ans plus tard, il est important de savoir qu'elle est la conséquence des "Affaires Schems I & II" [7]. En 2011, Maximilien Schrems, un militant-activiste autrichien, demande à Facebook l'accès à ses données personnelles . Il se rend alors compte que l'utilisation qui en est faite dépasse le cadre prévu par la réglementation européenne : les données qu'il a supprimées ont été conservées par l'entreprise américaine, ici située en Irlande. Leur transfert vers les États-Unis n'est pas exclu. C'est pour cela qu'il déposera un plainte et poursuivra ensuite son action jusqu'à l'audience du 25 mars 2015 à la Cour de Justice de l'Union Européenne (CJUE), qui décidera de l'invalidation du Safe Harbour. La décision de la CJUE en juillet 2020 est le deuxième volet de l'affaire Schrems, qui conduit à l'invalidation du Privacy Shield :le dispositif qui devait suppléer au Safe Harbour. Pour l'Union européenne, ce sont les manquements à la protection des données privées qui ont conduit à cette décision.

Le Health Data Hub est donc soumis à ces tensions juridiques internationales puisqu'il est hébergé par une entreprise américaine. Microsoft présente ses engagements vis-à-vis de la gestion des données de leurs clients dans une section de leur documentation intitulée "Data Law" [11]. Il y est précisé que Microsoft ne communique pas directement avec les instances gouvernementales américaines ou des pays où ses filiales sont implantées. Microsoft mentionne plus bas  "nous fournissons les données utilisateur que lorsque nous recevons une ordonnance exécutoire ou une assignation."[traduit de l'anglais], ce qui constitue peut-être la limite de la protection légale que l'entreprise peut s'engager à offrir.

Ces dispositions prises en réaction aux risques d'application du CLOUD Act, ont certainement jouées en faveur du maintient de l'hébergement du Health Data Hub par Microsoft. Mais si la décision rendue par le Conseil prend le contre pied, il ne s'agit pas d'un retournement de la situation pour autant [12]. Ce sont en revanche les risques de transferts et de non-respect des clauses de la loi sur le Règlement Général sur la Protection des Données (RGPD) du 27 avril 2016 qui ont catalysé cette situation [13]. Le RPGD encadre les bonnes pratiques sur la manipulation des données personnelles au sein de l'Union européenne. Il est précisé dans l'article 3 que "[l]es sociétés non européennes sont également soumises au règlement [RGPD] dès qu'elles ciblent les résidents de l'UE par le profilage ou proposent des biens et des services à des résidents européens". C'est en définitive cela qui a conduit la CJUE à rendre sa décision sur l'inadéquation du RGPD avec le Privacy Shield [14].

 

Références bibliographiques :

[1] Conseil d'État. "Health Data Hub et protection de données personnelles : des précautions doivent êtres prises dans l'attente d'une solution pérenne". Décision contentieuse. conseil-etat.fr Publié le 14/10/2020. [En ligne]. Consulté le 16/10/2020.Disponible à l'adresse : <https://www.conseil-etat.fr/actualites/actualites/health-data-hub-et-protection-de-donnees-personnelles-des-precautions-doivent-etre-prises-dans-l-attente-d-une-solution-perenne>

[2] Congressional Research Service. H.R.4993. "Clarifying Lawful Overseas Use of Data or the CLOUD Act." congress.gov Publié le 02/06/2018. [En ligne]. Consulté le 23/10/2020.Disponible à l'adresse : <https://www.congress.gov/bill/115th-congress/house-bill/4943>

[3] 95th United States Congress. 91 STAT. 1494  L95-213 [S.305] "Foreign Corrupt Practices Act of 1977" uslaw.link Publié le 19/12/1977.Consulté le 23/10/2020 PDF disponible à l'adresse : < https://www.govinfo.gov/link/statute/91/1494?link-type=pdf>

[4] 107th United States Congress. H.R.3162. L357-66. Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorim (USA PATRIOT ACT) Act of 2001. congress.gov Publié le 23/10/2001. [En ligne] Consulté le 23/11/2020. Disponible à l'adresse : <https://www.congress.gov/bill/107th-congress/house-bill/3162>

[5] JOUE.n°L207-1 2016/1250/CE- Directive 65/46/EC of the European Paliament and the Council on the adequacy of the protection provided by the EU-U.S. Privacy Shield. (notified under document C(2016) 4176). eur-lex.europa.eu Publié le 01/08/2016. (En ligne) Consulté le 23/11/2020. Disponible à l'adresse : <https://eur-lex.europa.eu/legal-content/EN/TX/?uri=uriserv%3AOJ.L_.2016.207.01.0001.01.ENG>

[6] JOUE. n°L215 - 2000/520/CE : Décision de la Commission du 26 juillet 2000 conformément à la directive 95/46/CE du Parlement européen et du conseil, relative à la pertienence de la protection assurée par les principes de la "sphère de sécurité" et par les questions souvent posées y afférentes, publiées par le ministère du commerce des États-Unis d'Amérique [notifiée sous le numéro C(2000)2441] (Texte présentant de l'intérêt pour l'EEE). eur-lex.europa.eu Publié le 25/08/2000. [En ligne] Disponible à l'adresse : <https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32000D0520>

[7]European Data Protection Board- Foire aux questions sur l'arrêt rendu par la Cour de justice de l'Union européenne dans l'affaire C-311 - Data Protection Comissioner contre Facebook Ireland Ltd et Maximilian Schrems. edpb.europa.eu Publié le 24 Juillet 2020. [En ligne] Disponible à l'adresse : <https://edpb.europa.eu/our-work-tools/our-documents/ohrajn/frequently-asked-questions-judgment-court-justice-european-union_fr>

[8] Microsoft. Data Law "About our practices and your data" blogs.microsoft.com [En ligne] Consulté le 11/11/2020. Disponible à l'adresse : <https://blogs.microsoft.com/datalaw/our-practices/>

[9] Le Monde. Collectif. "L'exploitation de données de santé sur une plate-forme de Microsoft expose à des risques multiples" lemonde.fr Publié le 10/12/2019 [En ligne]. Consulté le 25/11/2020. Disponible à l'adresse : <https://www.lemonde.fr/idees/article/2019/12/10/l-exploitation-de-donnees-de-sante-sur-une-plate-forme-de-microsoft-expose-a-des-risques-multiples_6022274_3232.html> 

[13] JOUE. Règlement UE 2016-679 du Parlement européen et du conseil de l'Union Européenne relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données-version consolidée. eur-lex.europa.eu Publié le 04/05/2016 [En ligne]. Disponible à l'adresse :<http://data.europa.eu/eli/reg/2016/679/oj>

[14] Cour de Justice de l'Union Européenne. C-311/18 The Court of Justice Invalidates Decision 2016/1250 on the adequacy of the protection provided by the EU-US Data Protection Shield. curia.europa.eu Publié le 16/07/2020 [Téléchargement] Disponible à l'adresse : <https://curia.europia.eu/jcms/upload/docs/application/pdf/2020-07/cp200091en.pdf>

RGPD : ce qu'il faut savoir sur la collecte des données à caractère personnel.

Ce qu'il faut retenir du RGPD

Le monde évolue, les habitudes changent, de même que les outils. Les entreprises font face à une gestion efficiente du flux informationnel et de la collecte des données à caractère personnel dans le cadre de l'exercice de leur fonction et services offerts aux usagers.

Afin d'encadrer l'usage réservé aux informations lors de nos différents échanges sur Internet, l'Union Européenne a instauré un règlement, un texte en matière de protection des données appelé "Règlement général sur la protection des données". Il vise à unifier et à renforcer la protection des données pour les individus au sein de l'Union européenne. 

Selon Jérémie Courtois, "L'idée de ce règlement est de replacer la personne au centre de la scène et lui faire comprendre que c'est elle qui doit avoir la maîtrise de ses données."  

Il ajoute que "Une entreprise qui collecte et traite des données personnelles doit informer les personnes d'un certain nombre de choses sur le traitement de leurs données personnelles. Cela a toujours été le cas, notamment l'une des informations principales, qui est la finalité des traitements." [1]

Le consentement de la personne concernée doit être spécifique à chaque traitement réservé à ses données. 

Le juge européen pour parvenir à ses fins de respect de ce règlement sanctionne en cas de récidives les entreprises contrevenantes à de lourdes amendes. C'est le cas de certaines entreprises comme Orange et Spartoo.

RGPD : Orange épinglé par le juge européen sur sa collecte des données personnelles "par défaut"

Une filiale d'Orange en Roumanie conservait illégalement des copies des titres d'identité de ses clients et avait été sanctionnée par l'autorité de protection des données locales. Le juge européen vient de donner raison à cette dernière, rappelant qu'une case cochée par défaut ne prouve pas le consentement d'une personne. En effet, la cour de justice de l'Union européenne (CJUE) rappelle, dans une décision rendue le 11 novembre, qu'une case pré-cochée ne permet pas de prouver le consentement d'une personne, qui doit être "libre, spécifique, éclairé et univoque", d'après le Règlement général sur la protection des données.

L'autorité de protection des données roumaine a donc infligé à Orange Romania, filiale locale du groupe français de télécommunications Orange, une sanction pécuniaire pour avoir collecté et conservé les copies des titres d'identité de ses clients sans leur consentement exprès [2]. La cour de justice de l'Union européenne rappellera à Orange Roumania, les conditions dans lesquelles le consentement des clients au traitement des données personnelles est valable ou pas. Elle enchérira en disant que l'entreprise devrait permettre au client une véritable liberté de choix.

Le site de vente de chaussures SPARTOO sanctionné pour non-respect du RGPD

La CNIL, lors d'un contrôle, met en cause la durée de conservation des informations personnelles des clients de SPARTOO, entreprise spécialisée dans la vente en ligne de chaussures. "Lors du contrôle de la CNIL, aucune durée de conservation des données des clients et des prospects n'était mise en place par la société qui n'effaçait pas régulièrement les données personnelles et ne les archivait pas". Ce qui met en danger la sécurité des données bancaires des clients.[3]

Pour non-respect du RGPD, SPARTOO reçoit une amende de 250.000 euros. "Un manquement au principe de minimisation des données" est observé,  "l'enregistrement intégral et permanent des appels téléphoniques reçus par les salariés du service client est excessif".

RGPD : Les organisations ont profité du confinement pour se mettre à jour 

L'éditeur Data Legal Drive dans une enquête a constaté que 40% des DPO (délégués à la protection des données) et juristes ont profité du confinement pour traiter les sujets de fonds de la mise en conformité du RGPD de leur entreprise. C'est notamment le cas pour la mise à jour du registre des traitements qui a fait l'objet d'une attention particulière pour près de la moitié des répondants.

"La mise en place du confinement a massivement permis aux entreprises de prendre pleinement conscience du chemin à parcourir : le télétravail suppose une réorganisation des ressources humaines poussée avec des questions de droit social et de vie privée, et une mise à niveau des process de sécurisation des données" observe Sylvain Staub, PDG de Data Legal Drive et associé du cabinet DS Avocats.[4]

[1] RGPD : Ce qu'il faut savoir. BPIFRANCE. N° du 18 Avril 2018. [en ligne]. Disponible sur https://www.bpifrance.fr/A-la-une/Actualites/RGPD-ce-qu-il-faut-savoir-38409. Consulté le 23/11/2020.

[2] VITARD, Alice. RGPD: Orange épinglé par le juge européen sur sa collecte des données à caractère personne par "défaut". In Usine Digitale. Publié le 13/11/2020. Consulté le 24/11/2O2O. Disponible sur https://www.usine-digitale.fr/article/rgpd-orange-epingle-par-le-juge-europeen-sur-sa-collecte-des-donnees-personnelles-par-defaut.N1027789.

[3] La CNIL sanctionne le site SPARTOO pour ne pas avoir respecté le règlement général sur la protection des données personnelles. In "Le monde". Publié le 05/08/2020. [En ligne]. Consulté le 24/11/2020. Disponible sur https://www.usine-digitale.fr/article/rgpd-orange-epingle-par-le-juge-europeen-sur-sa-collecte-des-donnees-personnelles-par-defaut.N1027789. 

[4] TEXIER, Bruno. Le RGPD dopé par le confinement. In "Archimag". Publié le 25/05/2020. Consulté le 25/11/2020. Disponible sur https://www.archimag.com/vie-numerique/2020/05/25/rgpd-dope-confinement. 

  

Le droit au déréférencement : Internet n'oublie rien?

Depuis son entrée en application le 25 mai 2018, le Règlement Général sur le Protection des Données (RGPD) est le texte de référence quant à la protection des données à caractère personnel. Son article 17 explicite notamment le concept de droit au déréférencement, lui-même déjà consacré par la Cour de Justice de l'Union Européenne (CJUE) en mai 2014 suite à l'affaire Google Spain, au titre de l'interprétation de la directive 95/46/CE d'octobre 1995. Malgré sa relative ancienneté, ce droit est apparemment encore sujet à questionnement puisque le Conseil d'Etat a publié treize décisions le concernant en décembre 2019. 

Un droit au déréférencement?

Contrairement au droit à l'effacement qui permet la suppression définitive des données personnelles collectées et stockées par un quelconque organisme, le droit au déréférencement permet à tout citoyen européen d'exiger qu'un moteur de recherche supprime les résultats de recherche associés à son nom et prénom. Comme le précise le Comité Européen de la Protection des Données, il ne s'agit donc pas de supprimer le contenu sur le site internet source - qui demeure accessible et visible via une autre requête - mais bien le lien qui mène à ce dernier [3].

Pour en bénéficier, il suffit de contacter le moteur de recherche en question (via un formulaire électronique ou un courrier), lui soumettre et motiver sa demande tout en indiquant l'URL concernée. Ce dernier aura alors un délai d'un mois pour examiner la demande et lui donner suite. En cas de refus, il est toujours possible de saisir la Commission Nationale de l'Informatique et des Libertés (CNIL). Sans oublier que la violation de ce droit fait l'objet d'une sanction sous forme d'amende administrative [4] [5].

Quelles données sont concernées?

Si ce droit s'applique à toutes données à caractère personnel, la CJUE en distingue tout de même plusieurs types : celles ne relevant pas de catégorie particulière et celles relevant de données spécifiques soit tout ce qui est relatif aux origines raciales et/ou ethniques, les opinions politiques/ religieuses, l'orientation sexuelle, les données génétiques ou biométriques. 

La CJUE affirme que l'exploitant d'un moteur de recherche est responsable du référencement de ces données personnelles. Tout citoyen européen est donc en droit d'exiger à ce dernier d'effacer le lien qui mène à ces informations personnelles, dans le cadre de la protection et du respect de sa vie privée.  

Quelles sont les problématiques soulevées?

Si revendiquer ce droit est tout à fait légitime et légal, il n'est toutefois pas absolu. En effet, le moteur de recherche se garde le droit de le refuser s'il juge la demande abusive. Comment légitime-t'il ce refus? En invoquant un autre principe tout aussi fondamental de la liberté d'expression : le droit d'information des internautes.

Face à cette mise en balance complexe, le Conseil d'Etat s'est attaché à définir plus précisément les conditions relatives au déréférencement en proposant treize décisions [2], suivi de près par la CNIL qui étaye ces décisions dans un communiqué publié le 31 décembre 2019 [1]. Ce qu'il faut en retenir est que selon ces deux instances, il est absolument nécessaire de traiter chaque demande au cas par cas, en s'appuyant sur trois catégories de critères : les caractéristiques des données (leurs sensibilités), la personne concernée (sa fonction, sa notoriété publique) et les conditions d'accès. Le but étant de déterminer la pertinence et le potentiel impact de leur diffusion [6].

De même, la portée géographique de ce droit est elle aussi limitée. Dans un arrêt du 24 septembre 2019, la CJUE précise que le droit au déréférencement n'est applicable qu'au sein de l'Union Européenne, en mettant en place un géoblocage filtrant l'accès au contenu. Les moteurs de recherche ne suppriment donc pas l'intégralité des extensions (.com, .fr, .be, etc.) ce qui nuance fortement l'effectivité de ce "droit à l'oubli" [4].

En conclusion.

La protection des données à caractère personnel est bien un thème central et inhérent à l'apogée d'Internet et du "tout numérique". Le droit au déréférencement, allié au droit à l'effacement, qui ne sont pas (encore) des droits absolus en eux-mêmes, découlent de cette volonté de protection de la vie privée des citoyens européens. Force est de constater que les grands acteurs de ce monde numérique nient voire contestent ce droit à l'oubli - et à juste titre puisque les données personnelles sont devenues la nouvelle richesse de notre société, une partie intégrante du monde économique et mercantile.

[1] CNIL, 2019. Le droit au déréférencement en question. Cnil.fr [En ligne]. 31 décembre 2019. [Consulté le 5 janvier 2020]. Disponible à l'adresse : <https://www.cnil.fr/fr/le-droit-au-dereferencement-en-questions>

[2] Conseil d'Etat, 2019. Droit à l'oubli, le Conseil d'Etat donne le mode d'emploi. Conseil-etat.fr [En ligne]. 6 décembre 2019. [Consulté le 13 février 2020]. Disponible à l'adresse: <https://www.conseil-etat.fr/actualites/actualites/droit-a-l-oubli-le-conseil-d-etat-donne-le-mode-d-emploi>

[3] CUVELLIEZ, Charles, QUISQUATER, Jean-Jacques, 2019. Plus de clarté (enfin) pour encadrer le droit à l'oubli sur Google. Latribune.fr. [En ligne]. 28 décembre 2019. [Consulté le 3 février 2020]. Disponible à l'adresse :<https://www.latribune.fr/opinions/tribunes/plus-de-clarte-enfin-pour-encadrer-le-droit-a-l-oubli-sur-google-836160.html>

[4] DEVILLER, Nathalie, 2018. Le droit à l'effacement : ce que Google oublie de vous dire dans son rapport de transparence. Theconversation.com [En ligne]. 6 mars 2018. [Consulté le 25 février 2020]. Disponible à l'adresse :<http://theconversation.com/le-droit-a-leffacement-ce-que-google-oublie-de-vous-dire-dans-son-rapport-de-transparence-92908>

[5] NEUER, Laurence, 2019. Données personnelles : comment exercer son droir à l'oubli. Lepoint.fr [En ligne]. 14 juin 2019. [Consulté le 5 janvier 2020]. Disponible à l'adresse: <https://www.lepoint.fr/editos-du-point/laurence-neuer/donnees-personnelles-comment-exercer-son-droit-a-l-oubli-14-06-2019-2319031_56.php>

[6] SIMON-RAINAUD, Marion, 2020. Dans quelles conditions pouvez-vous faire valoir votre droit à l'oubli sur Internet? 01net.com [En ligne]. 3 janvier 2020. [Consulté le 3 février 2020]. Disponible à l'adresse: <https://www.01net.com/actualites/dans-quelles-conditions-pouvez-vous-faire-valoir-votre-droit-a-l-oubli-sur-internet-1834210.html#xtor=AL-123461>

Quelles perspectives pour le "RGPD californien"?

Le California Consumer Privacy Act (CCPA) est entré en vigueur le 1er janvier 2020. Cette loi sur la protection de la vie privée concerne les données personnelles des consommateurs californiens.  Mais au-delà de celles-ci, c'est bien la protection de l'identité numérique des individus, notre "double numérique", qui semble en jeu. Par sa nature et ses nombreuses implications, ce texte soulève beaucoup de questions.

Qu'est-ce que le CCPA ?

Aux Etats-Unis, le recueil des renseignements personnels n'est réglementé au niveau national que dans de rares secteurs d'activité (santé, finances...). De par son poids démographique, économique et symbolique, la Californie est donc susceptible de donner l'exemple et de devenir un modèle pour le pays. [1]

Le California Consumer Privacy Act a été voté en juin 2018 par le Congrès local dans le contexte du scandale Cambridge Analytica et sous la pression populaire. 

A qui s'applique-t-il ?
Il s'applique depuis le début 2020 à une partie des entreprises à but lucratif implantées en Californie. De même, les firmes ayant des clients ou utilisateurs dans cet Etat doivent s'y conformer.
Sont concernées celles qui utilisent les données d'au moins 50 000 personnes, pour au moins 25 millions de dollars de chiffre d'affaires annuel. Celles aussi qui réalisent au moins 50% de leurs revenus avec la vente de données. Leurs filiales et sociétés mères devront également se plier à la loi. Les courtiers en données (data brokers) sont particulièrement visés.

Quels droits s'y attachent ?

Le CCPA donne de nouveaux droits aux consommateurs sur la façon dont leur données sont collectées et utilisées: droit de portabilité, d'information et d'accès aux données. L'internaute peut cliquer sur la mention 'Ne vendez pas mes données' . Des sanctions sont prévues à partir de juillet 2020 : des amendes de 2 500 à 7 500 dollars par violation constatée (à ramener au nombre de consommateurs).

Est-il vraiment si proche du RGPD que cela ? 

Parler de 'clone' du Règlement Général sur la Protection des Données (RGPD) est abusif malgré de nombreuses ressemblances. Certains parlent plutôt de 'version light' [2]. En réalité, la loi californienne est bien moins contraignante que le règlement européen. On retrouve dans le CCPA les 'droits de la personne' déjà présents dans le RGPD. Mais en Europe, toutes les entreprises, y compris publiques, sont concernées. Elles peuvent être sanctionnées même sans avoir perdu ou vendu des données jusqu'à 4% de leur chiffre d'affaires annuel ou 20 millions d'euros (le montant le plus élevé est retenu).

Cependant, la grande différence est philosophique: le RGPD met l'accent sur le consentement du citoyen (opt-in), le CCPA sur la possibilité de refuser du consommateur (opt-out). Les Européens imposent un délégué à la protection des données (DPO) indépendant au sein des entreprises. Celles ci sont tenues pour responsables de la protection des données privées. Rien de tel n'est prévu en Californie.

Quels espoirs fait-il naître ?

De nombreux spécialistes sont d'accord pour dire que le CCPA renforce la protection des informations personnelles pour des millions de personnes. Cela pourrait être une 'première étape' aux Etats-Unis d'un mouvement de fond qui touche toute la planète. En effet, une loi au niveau national est poussée par de nombreux acteurs. Ce ne sont pas seulement des associations de consommateurs, des activistes ou des ONG. Certaines entreprises comme Microsoft préfèrent d'ores et déjà appliquer le texte à tous les consommateurs. Une cinquantaine des plus grandes firmes américaines militent pour la création d'une loi fédérale. De manière générale, elles craignent la multiplication de textes et réglementations différentes. Elles veulent une loi unique qui leur conviendrait et faciliterait leurs activités dans tout le pays. Certaines firmes, à l'exemple d'Apple, voient un avantage concurrentiel dans des pratiques vertueuses de protection des données personnelles. 

On suivra ce qu'il ressort des longs débats au Congrès de Washington qui n'ont pour le moment pas abouti. 

Quelles sont ses limites ?

La mise en conformité peut être complexe (des infrastructures logicielles CCPA différentes sont sur le marché), son coût peut éventuellement poser problème aux petites entreprises. Les meilleures élèves sont celles qui se sont déjà mises en conformité avec le RGPD et celles dont les activités les sensibilisent à la question car leur réputation est en jeu (santé, finances...). D'autres ont attendu de voir les résultats des démarches des groupes de pression en Californie et si un texte allait être voté au niveau fédéral. Les experts tablaient donc sur environ 50% de firmes à jour de leurs obligations au 1er janvier 2020.
En réalité, la Californie n'a pas les moyens de poursuivre les infractions. De plus, la notion de 'vente' de données n'est pas claire. Ainsi, Facebook considère ne pas vendre de renseignements personnels mais les mettre à disposition de ses clients annonceurs. Par ailleurs, les essais réalisés avant l'entrée en vigueur du CCPA ont montré que peu de consommateurs utilisaient la possibilité de refuser la vente de leurs informations.

Quelles craintes s'expriment à l'heure actuelle ?

Blogs, tribunes et autres thèses... Leurs titres résument bien la principale inquiétude: 'Un "RGPD'"californien qui transforme les données personnelles en marchandises fictives' [3], 'Les Américains considèrent la donnée personnelle comme un simple bien commercialisable' [4] .... Le prix à payer pour plus de protection serait d'accepter que des entreprises peuvent vendre nos informations personnelles voire que nous puissions nous même vendre nos données aux entreprises. Si cette philosophie de la protection s'impose à l'échelle des Etats-Unis, il est probable qu'elle entrera en concurrence avec celle du RGPD qui affirme que les données personnelles ne peuvent être considérées comme des marchandises.
Plus largement, cela interroge notre réelle volonté de nous protéger des dangers de l'économie numérique [5].



[1] Mediavilla Lucas. Loi sur les données personnelles: la Californie ouvre le bal aux Etats-Unis. Les Echos. 06-01-2020. Vol 23109.
[2] Richard Philippe. CCPA: La Californie aura bientôt son RGPD version light. Techniques de l'ingénieur. [en ligne]. 28-05-2019. <https://www.techniques-ingenieur.fr/actualite/articles/ccpa-californie-rgpd-66865/ > [consulté le 21-01-2020].
[3] Maurel Lionel. Un "RGPD californien" qui transforme les données personnelles en marchandises fictives. -S.I.Lex- Un blog publié par Calimaq. [en ligne]. < https://scinfolex.com/2020/01/07/un-rgpd-californien-qui-transforme-les-donnees-personnelles-en-marchandises-fictives/ > [consulté le 21-01-2020].
[4] Lazarègue Alexandre. Les Américains considèrent la donnée personnelle comme un simple bien commercialisable. Le Monde. [en ligne]. 20-01-2020. <https://www.lemonde.fr/idees/article/2020/01/20/rgpd-les-americains-considerent-la-donnee-personnelle-comme-un-simple-bien-commercialisable_6026550_3232.html> [consulté le 21-01-2020].
[5] Cerf Juliette. Joie d'offrir, plaisir d'être fiché. Entretien avec Bernard E. Harcourt. Télérama. 08-01-2020. Vol 3652. p 37-39.

Une journée RGPD pour les établissements de santé

Ascodocpsy, Groupement d’Intérêt Public (GIP) organise une journée d’étude [1] au sujet du Règlement Général sur la Protection des Données (RGPD) et de son application dans les établissements de santé, le 30 janvier 2020 au Centre Hospitalier Saint Jean de Dieu à Lyon. Un sujet au cœur de toutes les questions sur la digitalisation de notre système de santé et nécessaire à la compréhension de ce règlement.

Les établissements de santé traitent chaque jour des milliers de données dites « sensibles » et doivent être en conformité avec le RGPD applicable depuis mai 2018. Ces données de santé sont à l’origine protégées par le code déontologique du secret médical applicable par tous les professionnels du secteur et interdisant leur transmission à une entité tierce. Le RGPD vient bousculer l’organisation des établissements de santé et de nouveaux comportements et usages doivent être mis en place dans le respect et toute la complexité de ce règlement à décrypter. Il en va de la responsabilité de l’établissement non exempt de failles de sécurité liées à ses propres technologies et qui peut être sanctionné par la Commission Nationale de l'Informatique et des Libertés (CNIL).

Des freins à l’application du RGPD

La mise en place du RGPD nécessite de nombreuses ressources (humaines, temporelles, budgétaires). Afin de pouvoir s’y appliquer, les établissements doivent libérer du temps médical ou autrement demander l’intervention d’un expert externe, dans la mesure où la santé des patients reste avant tout leur priorité. Dès lors, deux possibilités s’offrent à eux qu’il s’agit de bien étudier en terme de gouvernance d’information à caractère personnel.

La complexité de la législation fait également partie des freins à la mise en place du RGPD, au regard du secteur particulier de la santé, de ses limites et de certaines dérogations possibles liées par exemple à des motifs d’intérêt public général comme garantir la santé publique (RGPD, article 065) ou dans le cas d'une recherche interne. Une datavisualisation [2] sur le site de la CNIL propose une cartographie des articles du règlement structurés par thématique dont celle de la santé.

Prouver sa conformité par ailleurs nécessite d’être en mesure de fournir plusieurs documents à la CNIL, demandant une certaine expertise comme par exemple l’Analyse d’Impact relative à la Protection des Données (AIPD) afin d’évaluer les risques liés à d'éventuelles failles de sécurité.

Le « numérique est entrain de bouleverser la filière » selon le rapport sur "l'IA, Etat de l’art et perspective pour la France" publié par les ministères de la cohésion des territoires, de l’économie et des finances [3]. Le marché de l’e-santé en France en 2014 représentait 2,7 Mds d’euros. Le secteur est fortement impacté par les politiques de digitalisation (loi Santé en 2016) ; le Rapport Villani (2018), indique que la santé fait partie des secteurs prioritaires de l’Intelligence Artificielle (IA); la loi « Ma santé 2022 » (2019) appelle à « accélérer le virage numérique » dans le cadre de sa Stratégie de Transformation du Système de Santé (STSS).

Plusieurs projets numériques sont en cours (Dossier Médical Partagé, applications smartphones, plateforme de données de santé anonymisées Health Data Hub, programme HOP’EN…) et d’autres vont être mis en place à partir de 2020 (Espace Numérique de Santé, Identifiant Nationale de Santé, Lab Santé…).

Des risques liés au numérique

La digitalisation expose encore plus les données des patients aux cybermenaces : l’Agence des Systèmes d’Information Partagés de Santé (ASIP Santé) «  a recensé 693 incidents de sécurité déclarés par les structures de santé [4]. Les actes de cybermalveillance représentent 43% des signalements (hameçonnage, rançongiciel, intrusion, etc…). » Le Ministère des Solidarités et de la Santé alerte face à ces nouveaux services numériques en lançant une campagne de cybersécurité « tous cybervigilants » dans les établissements de santé. [5]

Dans son discours du jeudi 20 novembre 2019 [6] sur le Tour de France de la e-santé, Madame la Ministre Agnès Buzyn annonce très clairement le caractère prioritaire de lutte contre les cybermenaces :

« S’agissant de la cyber sécurité, […] l’actualité de ces dernières semaines nous montre qu’il nous faut la placer au sommet de nos priorités. […] «Face aux risques de cyberattaques du système de santé, la cybersécurité à l’échelle de chaque établissement de santé est donc devenue une priorité nationale. » […] « Récemment, chez nous, différentes attaques ont eu des répercussions sur un ensemble de structures de santé d’un groupe privé et au mois de novembre, la presse l’a évoqué, un CHU a été particulièrement touché.» Il s’agit du CHU de Rouen, victime d’un cryptovirus en novembre dernier. Elle cite également la «cyberattaque qui a touché les anglais en juin 2017 et qui a paralysé une partie des établissements de santé de la NHS.»

L’existence des vols de données n’est plus à démontrer ou même le risque de perte de données mettant en danger les usagers (scandale Nightingale de Google, Facebook…) « les GAFA souhaitent récupérer des expertises disponibles en IA en France pour mettre au point leurs propres services ». [3]

Pour aider à combattre les risques liés au numérique, le Ministère de la Santé a mis en place de nombreuses mesures dont l’agrément HDS (Hébergeur de Données de Santé), la « déclaration des incidents de sécurité » [6], la création d’un service nationale de cybersurveillance en 2020 et de nombreuses structures (Délégation Numérique et Santé, Conseil du Numérique en Santé, Agence Nationale de la Sécurité des Systèmes d’Information…)

Des aides pour une "hygiène numérique

"Le RGPD répond à l’appel de la politique nationale de la e-santé". Il est fondamental de définir une procédure de mise en place de la protection des données. Pour cela, le site de la CNIL est une ressource à exploiter. La CNIL propose de se préparer au RGPD en 6 étapes.

La première consiste à désigner un Délégué à la Protection des Données (DPD); étape obligatoire pour les organismes publics et les entreprises intervenant sur des données dites « sensibles ». Le Club de la Sécurité de l’Information Français (CLUSIF) propose également un dossier technique [7] d’aide spécifique au traitement des données de santé.

Pour en savoir plus sur le RGPD, la CNIL propose des actions d’aide via des logiciels, des MOOC, des fiches pratiques, des méthodes, des guides, des références aux articles du règlement, des modèles à suivre accessibles sur son site.

Aujourd’hui « 70% des Français se disent plus sensibles aux problématiques de protection des données. » La mise en oeuvre du RGPD devrait donner confiance aux usagers dans l’utilisation de leurs données personnelles de santé. Mais ces données sont la proie de cyberattaques dont  la menace bien réelle se trouve être la conséquence du virtuel. Pourtant la nécessité de la digitalisation du secteur est inéluctable car l’IA, au service de la recherche pourrait « sauver des vies ».

Au même titre que la plateforme Health Data Hub partage des données de santé anonymisées, dans un contexte maîtrisé et éthique, les établissements de santé doivent faire preuve de rigueur dans l’application du RGPD, se justifiant de surcroit comme un des leviers permettant l’accès à une digitalisation saine du secteur afin de permettre la continuité des politiques e-santé en faveur des services octroyés à chaque patient et de la recherche sur la santé publique. Madame la Ministre Agnès Buzyn parle d’«  hygiène numérique ». [6]

Les établissements de santé se consacrent désormais à une double mission sur la vie de leur patient : protéger à la fois leur santé mais aussi leurs données.

Sources

[1] Le RGPD dans les établissements sanitaires et médico-sociaux – Journée d’étude du 30 janvier 2020. Ascodocpsy. Mise à jour le 13 décembre 2020.

Consulté le 7 décembre 2019 sur

https://www.ascodocpsy.org/le-rgpd-dans-les-etablissements-sanitaires-et-medico-sociaux-journee-detude-du-30-janvier-2020/

[2] Datavisulation du RGPD. CNIL. Consulté le 7 décembre 2019 sur https://www.cnil.fr/fr/reglement-europeen-protection-donnees/dataviz

[3] Atawo Consulting.Intelligence artificielle - État de l’art et perspectives pour la France. Minsitère de la cohésion des territoires, Ministère de l'économie et des finances. Paru en février 2019. ISBN : 978-2-11-152634-1. ISSN : 2491-0058. Consulté le 7 décembre 2019 sur

https://www.entreprises.gouv.fr/files/files/directions_services/etudes-et-statistiques/prospective/Intelligence_artificielle/2019-02-intelligence-artificielle-etat-de-l-art-et-perspectives.pdf

[4] Portail d'Accompagnement Cybersécurité des Structures de Santé. Consulté le 7 décembre 2019 sur

https://www.cyberveille-sante.gouv.fr/cyberveille-sante/1526-693-incidents-rapportes-par-les-structures-de-sante-ces-deux-dernieres

[5] Ministère des Solidarités et de la Santé. Campagne national d'information sur la sécurité en santé. Publiée le 28 novembre 2019. Consulté le 7 décembre 2019 sur

https://esante.gouv.fr/node/3369

[6] Buzin, Agnès. Discours sur le Tour de France de la e-santé du 28 novembre 2019. Consulté le 7 décembre 2019 sur

https://solidarites-sante.gouv.fr/actualites/presse/discours/article/discours-agnes-buzyn-tour-de-france-de-la-e-sante-jeudi-28-novembre-2019

[7] Club de la sécurité de l'Information Français (CLUSIF). Le traitement des données de santé. Publié en avril 2019. Consulté le 7 décembre 2019 sur

https://clusif.fr/publications/le-traitement-des-donnees-de-sante/

Un guide pratique pour mieux encadrer la publication en ligne et la réutilisation des données publiques.

Afin de clarifier les règles relatives à l’ouverture des données publiques en open data, la Commission d’accès aux documents administratifs (CADA) et la Commission nationale de l’informatique et des libertés (CNIL) ont publié un guide pratique de la publication en ligne et de la réutilisation des données publiques le 17 octobre 2019. Cet outil est mis à disposition tant des administrations que des personnes privées pour répondre à leurs interrogations portant sur l’articulation des obligations d’ouverture des données publiques avec celles prescrites par le Règlement général sur la protection des données (RGPD). 

Depuis le 17 octobre 2019, la CNIL et la CADA proposent le téléchargement sur leurs sites Internet d’un guide pratique de la publication en ligne et de la réutilisation des données publiques. Cet outil se présente sous la forme d’un document de vingt-huit pages et réalise une synthèse portant sur les obligations de publication en ligne, le contenu des documents publiés et leurs modalités de diffusion et de réutilisation [1]. Une fiche pratique sur l’anonymisation des documents administratifs a été élaborée en complément de ce guide, mettant ainsi l’accent sur ce procédé qui permet de mettre en ligne des informations publiques sans données personnelles [2]. 

Attendue depuis 2016, la publication de cet outil a pour objectif de répondre aux difficultés rencontrées lors de la diffusion en ligne des données publiques, notamment par les collectivités locales et les petites communes, mais aussi par les petites et moyennes entreprises [3]. La rédaction de ce guide a donc été élaborée après une consultation publique lancée au printemps dernier qui a réuni plus de deux cent vingt contributions et est présentée comme un succès par la CNIL. Celle-ci attire l’attention sur la diversité des participants qui sont tant des acteurs du service public que des professionnels du secteur privé [4]. 

Faisant suite à la publication d’un guide de sensibilisation au RGPD pour les petites et moyennes entreprises en 2018 [5] et à la mise en ligne d’un Mooc consacré au RGPD en mars 2019 [6], ce guide pratique est présenté comme un outil d’accompagnement durable, son contenu étant appelé à être mis à jour régulièrement par le biais de fiches pratiques qui seront réalisées au gré des évolutions légales, doctrinales ou jurisprudentielles portant sur la question de la réutilisation des données publiques [4]. 

Si ce guide s’inscrit dans la politique d’accompagnement de la CNIL, sa publication tend aussi à montrer que la CNIL sera désormais moins tolérante en cas d’abus. « Désormais, nous devons faire passer le message que, sans renoncer à son action d’accompagnement et tout en faisant preuve de discernement dans son action répressive, la CNIL n’hésitera pas à passer aux sanctions. » a ainsi déclaré en juin 2019 Marie-Laure Denis, présidente de la CNIL [3]. Avec l’entrée en vigueur du RGPD en mai 2018, les citoyens sont en effet devenus plus sensibles à la protection de leurs données personnelles. En 2018, la CNIL a ainsi reçu 11 077 plaintes, un nombre record, en hausse de 32% par rapport à 2017 [7].

Sources: 

[1] CNIL/CADA. Guide pratique de la publication en ligne et de la réutilisation des données publiques (« open data »). Cnil.fr [en ligne]. 17 octobre 2019 [consulté le 11 novembre 2019]. Disponible sur : https://www.cnil.fr/sites/default/files/atoms/files/guide_open_data.pdf

[2] CNIL/CADA. L’anonymisation des données. Cada.fr [en ligne]. 17 octobre 2019 [consulté le 11 novembre 2019]. Disponible sur : https://www.cada.fr/administration/lanonymisation-des-donnees

[3] La Semaine Juridique – Edition générale - n° 23 – 10 juin 2019. Le RGPD a eu un impact direct : le nombre de plaintes auprès de la CNIL a augmenté d’un tiers en un an. Tendancedroit.fr [en ligne]. [consulté le 11 novembre 2019]. Disponible sur : http://www.tendancedroit.fr/wp-content/uploads/2019/06/Entretien.pdf

[4] CNIL. Open data : la CNIL et la CADA publient un guide pratique de la publication en ligne et de la réutilisation des données publiques. Cnil.fr [en ligne]. 17 octobre 2019 [consulté le 11 novembre 2019]. Disponible sur : https://www.cnil.fr/fr/open-data-la-cnil-et-la-cada-publient-un-guide-pratique-de-la-publication-en-ligne-et-de-la

[5] Bpifrance Le Lab/ CNIL. Guide pratique de sensibilisation au RGPD pour les petites et moyennes entreprises. Les grandes étapes pour protéger les données personnelles de votre entreprise. Cnil.fr [en ligne]. 17 avril 2018 [consulté le 11 novembre 2019]. Disponible sur : https://www.cnil.fr/sites/default/files/atoms/files/bpi-cnil-rgpd_guide-tpe-pme.pdf

[6]  CNIL. La CNIL lance sa formation en ligne sur le RGPD ouverte à tous. Cnil.fr [en ligne]. 11 mars 2019 [consulté le 11 novembre 2019]. Disponible sur :  https://www.cnil.fr/fr/la-cnil-lance-sa-formation-en-ligne-sur-le-rgpd-ouverte-tous

[7] Januel Pierre. CNIL et RGPD : retour sur une année de transition. Dalloz-actualité.fr [en ligne]. 19 avril 2019 [consulté le 11 novembre 2019]. Disponible sur : https://www.dalloz-actualite.fr/flash/cnil-et-rgpd-retour-sur-une-annee-de-transition

Blockchain et RGPD et données personnelles

La Blockchain est une technologie au potentiel de développement fort qui suscite de nombreuses questions à propos de sa compatibilité avec celle du RGPD. Cependant, depuis le 24 septembre 2018 la CNIL se propose d'apporter des solutions concrètes aux acteurs qui souhaitent l'utiliser dans le contexte de traitement de données personnelles.

L'impact de la Blockchain sur les droits des personnes (droit à la vie privée et droit à la protection de leur données personnelles) fait appel à une analyse spécifique. La CNIL étant l'une des premières autorités à se saisir officiellement du sujet, va s'inscrire dans une démarche de coopération avec ses homologues européens pour proposer une approche solide et harmonisée.

Pour aller plus loin, voir les premiers éléments d'analyse de la CNIL sur la Blockchain. https://www.cnil.fr/sites/default/files/atoms/files/la_blockchain.pdf

Sources : CNIL. Blockchain et RGPD : quelles solutions pour un usage responsable en présence de données personnelles ? Publié le 24 septembre 2018 : [Consulté le 27 novembre 2018]. https://www.cnil.fr/fr/blockchain-et-rgpd-quelles-solutions-pour-un-usage-responsable-en-presence-de-donnees-personnelles

RGPD : saurons-nous si Johnny lisait les mêmes livres que Roald Dahl ?

La New York Society Library, bibliothèque privée fondée en 1754, permet, depuis son site Internet, de connaître les habitudes de lecture de ses membres les plus illustres [1], parmi lesquels des hommes politiques ou des écrivains, tels Roald Dahl ou Herman Melville. Avec le futur Règlement général de protection des données (RGPD) qui entrera en vigueur le 25 mai 2018, ce type d'information ne pourra plus être dévoilé... si toutefois le règlement est bien appliqué, ce qui est loin d'être sûr, à l'heure actuelle. Sera-t-il possible de savoir un jour ce qu'empruntaient Johnny Hallyday ou Jean d'Ormesson ?

Source : Pixabay

La Commission européenne (CE) s'est inquiétée, le 24 janvier dernier, du retard qu'ont pris les gouvernements de l'UE dans l'application du RGPD. En effet, malgré le risque de sanctions encourues, seules 26% des entreprises européennes seraient prêtes à appliquer la future réglementation. Cette non-préparation serait due au coût de la mise en conformité (investissements informatiques notamment), d'une part, et à la sous-estimation du risque auquel les entreprises s'exposent, d'autre part [2]. Le degré de préparation est toutefois variable d'un secteur à l'autre, mais aussi selon la taille des entreprises. Ainsi, les start-ups françaises protègent peu les données qu'elles possèdent, alors que 91% d'entre elles collectent des données personnelles [3]...

La CE s'emploie donc à inciter les différentes administrations européennes à prendre des mesures pour hâter les évolutions, mais aussi à aider les acteurs économiques à s'adapter [4]. Cette aide, prévue par l'article 35.4 du RGPD, doit, en France, être apportée par la Commission nationale de l'informatique et des libertés (CNIL). Cette dernière a d'ailleurs rapidement réagi à la communication de la CE en mettant en avant sur son site les dispositifs et outils qu'elle proposait déjà aux professionnels, ainsi que ceux qu'elle va mettre en place pour préparer la transition [5]. 

Il semblerait donc que l'urgence se précise enfin. Tous les canaux sont utilisés pour communiquer sur la question, y compris Youtube, sur lequel le nombre de vidéos taguées RGPD s'est multiplié, même si seule l'une d'entre elles est promue par la CNIL [6]. Les acteurs privés se mobilisent également. Ainsi, Techniques de l'ingénieur propose des livres blancs pour aider les entreprises à mettre en place le RGPD dans les temps [7], tandis que l'association professionnelle ACSEL, qui voit d'ailleurs dans le RGPD un moyen de renforcer la confiance des internautes dans les technologies numériques, organise des séminaires ou formations sur le sujet [8]. Enfin, l'Afnor invite les entreprises à partager leurs pratiques en matière de protection des données en créant une plate-forme d'échange sur le sujet [9].

Le compte à rebours est enclenché pour les entreprises et les administrations européennes (seules l'Allemagne et l'Autriche seraient prêtes). Arriveront-elles à temps ? Rendez-vous le 25 mai !

* * *

[1] JOST Clémence, "Que lisait Roald Dahl à la bibliothèque ? La New York Society Library analyse les documents empruntés par ses lecteurs célèbres", Archimag, 15 février 2018 [en ligne], disponible sur le site d'Archimag [consulté le 19 février 2018] : http://www.archimag.com/bibliotheque-edition/2018/02/15/roald-dahl-bibliotheque-analyse-documents-empruntes-lecteurs

[2] DEBES Florian, "Données personnelles : beaucoup d'entreprises en retard sur le nouveau règlement européen", Les Échos, 18 février 2018 [en ligne], disponible sur le site des Échos [consulté le 19 février 2018] : https://www.lesechos.fr/tech-medias/hightech/0301308653687-donnees-personnelles-beaucoup-dentreprises-en-retard-sur-le-nouveau-reglement-europeen-2154550.php

[3] JOST Clémence, "RGPD : les start-ups ne protègent pas correctement les données personnelles qu'elle collectent", Archimag, 14 février 2018 [en ligne], disponible sur le site d'Archimag [consulté le 19 février 2018] : http://www.archimag.com/chiffre-du-jour/2018/02/14/rgpd-start-protegent-correctement-donnees-personnelles-collecte

[4] FROCHOT Didier, "RGPD : la Commission européenne inquiète de l'impréparation des Etats membres", 9 février 2018 [en ligne], disponible sur le site des infostratèges [consulté le 19 février 2018] : http://www.les-infostrateges.com/actu/18022509/rgpd-la-commission-europeenne-inquiete-de-l-impreparation-des-etats-membres

[5] "RGPD : comment la CNIL vous accompagne dans cette période transitoire ?", 19 février 2018 [en ligne], disponible sur le site de la CNIL [consulté le 19 février 2018] : https://www.cnil.fr/fr/rgpd-comment-la-cnil-vous-accompagne-dans-cette-periode-transitoire

[6] FROCHOT Didier, "RGPD encore et toujours... même sur Youtube", 16 février 2018 [en ligne], disponible sur les site des infostratèges [consulté le 19 février 2018] : http://www.les-infostrateges.com/actu/18022513/rgpd-encore-et-toujours-meme-sur-youtube

[7] Techniques de l'ingénieur, "RGPD : le défi 2018 des entreprises", Livre blanc, février 2018 [en ligne], téléchargeable à l'adresse [consulté le 19 février 2018] : https://www.techniques-ingenieur.fr/actualite/livre-blanc/rgpd-defi-2018-entreprises-52042/

[8] ACSEL, "Plus que 4 mois pour se mettre en conformité", conférence, 15 février 2018, programme disponible sur le site de l'ACSEL : http://www.acsel.asso.fr/rgpd-plus-4-mois-se-mettre-conformite/

[9] Afnor, "Protection des données personnelles : partagez vos bonnes pratiques !", 3 janvier 2018 [en ligne], disponible sur le site de l'Afnor [consulté le 19 février 2018] : https://normalisation.afnor.org/actualites/protection-donnees-personnelles-partagez-vos-bonnes-pratiques/

Vers un nouvel avenir des métiers de l'archivistique ? Le records manager.

Sur son blog Transarchivistique, Marie-Anne Chabin [1] publiait le 11 décembre dernier un billet questionnant l'avenir de l'archivage.

"L’archivage est ce geste managérial qui conduit à mettre en sécurité les documents ou données qui engagent dans la durée, avec une règle de vie qui pilote leur qualité, leur stockage, leur pérennisation, leur accès et leur destruction un jour, au mieux des intérêts de tous" [2].

Marie-Anne Chabin souligne le fait que l'archivage reste un geste fort et rappelle les cinq exigences incluses dans la règle de vie d'une archive :

• la qualité
• le stockage
• la pérennisation
• l'accès
• la destruction

Au-delà du domaine archivistique, c'est la question de l'archivage managérial, "records management" en anglais, qui est au cœur du sujet d'étude de l'auteur. Rappelons que l'archivage managérial répond à la question suivante : "comment faire en sorte que les documents qui engagent la responsabilité de l’entreprise soient identifiés, bien conservés, sécurisés et accessibles selon leur nature, pendant le temps nécessaire, tout cela au meilleur coût ?"[3].

Dans son billet, Marie-Anne Chabin alerte sur la déresponsabilisation et parfois une tendance à l'irresponsabilité de certaines entreprises concernant les questions d'archivage. Leur gouvernance de l'information ne pourra désormais plus se cacher derrière le fait qu'il vaut mieux un placard bien rempli. Le règlement général européen sur la protection des données personnelles (RGPD) devrait bousculer les habitudes. Le non-archivage et l'oubli d'élaborer des règles archivistiques (création, conservation et destruction) pour les données et certains documents contenant des données à caractère personnel pourront avoir un impact certain sur l'activité de l'entreprise puisque RGPD prévoit de fortes sanctions financières.

"L'archivage a-t-il de l'avenir ?", voici le titre du billet de Marie-Anne Chabin. Nous complétons ici sa réponse avec une offre d'emploi du Conseil départemental de Seine et Marne à la recherche de deux records managers se déclinant ainsi :

"Au sein du ser­vice pro­jets et appli­ca­tions métiers du social, le res­pon­sa­ble archi­vage ou « records mana­ger » assure la res­pon­sa­bi­lité de la maî­trise du cycle de vie des docu­ments et des pro­ces­sus docu­men­tai­res de la DGAS. Il défi­nit et met en œuvre en lien avec les archi­ves dépar­te­men­ta­les la stra­té­gie et les pro­cé­du­res per­met­tant à l’orga­nisme de disposer à tout instant du docu­ment ou de la donnée dont il a besoin pour conduire ses acti­vi­tés et se pro­té­ger des ris­ques juri­di­ques (exi­gen­ces léga­les et régle­men­tai­res, conten­tieux...), et de détruire des docu­ments et don­nées confor­mé­ment à la loi. Le ges­tion­naire archi­vage garan­tit la pro­tec­tion des docu­ments et des don­nées en fonc­tion des exi­gen­ces liées aux ris­ques et au pro­ces­sus qua­lité. Il par­ti­cipe également à la réus­site des pro­jets de déma­té­ria­li­sa­tion des dos­siers du social. Il est l’inter­face avec la Direction des Archives Départementales" [4].

Soulignons que l'inclusion de de la spécification suivante "se pro­té­ger des ris­ques juri­di­ques (exi­gen­ces léga­les et régle­men­tai­res, conten­tieux...), et de détruire des docu­ments et don­nées confor­mé­ment à la loi" semble faire particulièrement écho au rapprochement du délai de mise en conformité des entreprises en vue de l'application de la RGPD le 25 mai 2018 [5].

Il sera intéressant d'étudier dans quelques mois la proportion de ce type d'offre d'emploi. En 2015, une enquête sur l'insertion professionnelle des anciens diplômés en archivistique avait déjà mis en avant la part grandissante du profil du records manager en entreprise [6].

Notes et références

[1] Marie-Anne Chabin enseigne l’archivage managérial (records management) aux étudiants du master GSI (gestion stratégique de l’information) à l'Université Paris 8, UFR MITSIC, Département Sciences de l’information de documentation.

[2] CHABIN. Marie-Anne. L'archivage a-t-il de l'avenir ?. In Transarchivistique [en ligne]. Publié le 11 décembre 2017 [consulté le 18 décembre 2017] <http://transarchivistique.fr/larchivage-a-t-il-de-lavenir/>

[3] CAZENEUVE, R., CHABIN Marie-Anne. L'archivage managérial. Les Référentiels du CR2PA (Club des Responsables de Politiques et Projets d'Archivage), Novembre 2012. Disponible en ligne : [consulté le 18 décembre 2017] <http://blog.cr2pa.fr/wp-content/uploads/2013/03/CR2PA_Referentiel-Archivage-managerial.pdf>

[4] Site de l'Association des Archivistes de France. Catégorie : Emploi. Le Conseil départemental de Seine et Marne recrute : deux Records Manager (h/f). Publié le 13 novembre 2017, [en ligne, consulté le 18/12/2017] <http://www.archivistes.org/Le-Conseil-departemental-de-Seine-et-Marne-3311>

[5] FROCHOT, Didier. RGPD : 6% des acteurs en France aujourd'hui conformes. In site Les infostratèges.com. [En ligne], publié le 24 novembre 2017 [consulté le 18 décembre 2018] <http://www.les-infostrateges.com/actu/17112469/rgpd-6-des-acteurs-en-france-aujourdhui-conformes>

[6] AAF, Cofem, Collectif A8. Enquête sur l'insertion professionnelle des archivistes : synthèse et analyse des réponses. 2015. Disponible en ligne : [consulté le 18 décembre 2018] <http://www.archivistes.org/IMG/pdf/collectifaaf_enquete_insertion_pro_synthese_finale_20160908.pdf>