TERRA INCOGNITA
Les horizons de la protection de la vie privée

29^e Conférence internationale des commissaires à la protection des données et de la vie privée

Atelier
Tueur de dragons
La vérification

26 septembre
13h30 – 16h

Série Terra Incognita, cahier de travail # 6

Table des matières

Biographies

• M. Artemi Rallo Lombarte, Ph. D. – Président
• Mme. Yim Chan
• M. Nicholas Cheung
• M. Chris Turner
• M. Joel Winston

En Route vers les vérifications internationales en matière de protection des renseignements personnels (Privacy Laws & Business)

• Introduction
• Terminologie
• Quelques définitions utiles
• Pouvoir de vérification et d’enquêtes relatifs à la protection de la vie privée : une comparaison entre juridictions choisies
• Y a-t-il un avenir pour la coopération transfrontalière en Europe et ailleurs dans le monde ?
• Utilisation des vérifications en tant qu’outils de conformité
• Conclusion
• Suggestions aux fins de discussion : un modèle de vérification pour les organismes responsables de la protection des données
• Annexe : Rapports des pays
  1. France – Commission nationale de l’informatique et des libertés (CNIL)
  2. Royaume-Uni – Office of the Information Commissioner (ICO) (Bureau du commissaire à l’information)
  3. Espagne – Agencia española de protección de datos (Agence espagnole de protection de données)
• Bibliographie
  

Biographies

M. Artemi Rallo Lombarte, Ph. D.
Artemi Rallo Lombarte est directeur de l’Organisme de protection des données de l’Espagne. Il a mené des recherches dans divers centres internationaux comme l’Institut international des droits de l’Homme à Strasbourg, l’Université La Sapienza à Rome et le Centre de recherche en Droit constitutionnel de l’Université Paris 1 – Panthéon‑Sorbonne. Il est auteur d’un grand nombre de monographies, de livres et d’articles scientifiques publiés dans plusieurs magazines spécialisés, et a participé à des recherches et projets à l’échelle nationale et internationale sur l’administration publique, la protection des droits fondamentaux dans le cadre de l’intégration européenne et la décentralisation politique dans les États membres de l’Union européenne. De plus, M. Lombarte a collaboré à des programmes d’appui institutionnel européens en Amérique latine qui visaient à promouvoir la décentralisation politique, et à renforcer les institutions parlementaires et le pouvoir exécutif et judiciaire. Il est titulaire d’un diplôme en droit avec très grande distinction (1988) et d’un doctorat en droit de l’Université de Valence (1990). M. Lombarte est professeur en droit constitutionnel à l’Université Jaume I de Castellón, où il a également été chef du département de droit constitutionnel (1993-1998).

Mme Yim Chan
Yim Chan, CIPP/C, exerce les fonctions de directrice exécutive du service mondial de protection des renseignements personnels d’IBM Corporation ainsi que de chef du service de protection des renseignements personnels chez IBM Canada. Ses responsabilités au niveau mondial comprennent l’élaboration et la mise en œuvre de programmes pour le système mondial de gestion de la protection des renseignements personnels, et l’intégration de la protection des renseignements personnels dans les processus commerciaux concernés. En tant que chef du service de protection des renseignements personnels chez IBM Canada, Mme Chan est chargée de l’orientation des politiques et des pratiques de gestion de l’information à l’échelle de l’organisation. Au cours de ses 28 années de service à IBM, Mme Chan a occupé différents postes dans les domaines du développement de compilateurs de logiciels et des solutions sectorielles. Elle a également déjà été chef du service de l’information à IBM Canada. Mme Chan est titulaire de deux brevets pour une architecture de dialogue d’applications d’affaires et un ensemble d’outils dans l’environnement de l’évaluation de la protection des renseignements personnels. Elle détient une certification CIPP/C. Yim Chan est membre des conseils CPO canadien et américain et siège au conseil consultatif de l’International Association of Privacy Professionals (IAPP), qui a mis sur pied le programme canadien de certification destiné aux professionnels de la protection des renseignements personnels (CIPP/C). Elle est souvent invitée comme conférencière à des événements sur la protection des renseignements personnels et est sollicitée pour des entrevues sur cette question. Mme Chan est titulaire d’un baccalauréat en mathématiques et en informatique de l’Université de Waterloo, et d’un certificat de maîtrise en gestion de projet de l’Université George Washington. Elle a participé au programme de mentorat Women in Technology (WIT) dans la région du Grand Toronto.

M. Nicholas Cheung
Nicholas Cheung est directeur de projets à l’Institut canadien des comptables agréés (ICCA), où il est responsable de l’élaboration et de la mise en œuvre de projets liés aux services de certification. Actuellement, il dirige le secteur des services de protection des renseignements personnels et son travail consiste principalement à concevoir et à faire connaître de nouveaux services et ressources en la matière offerts par les comptables agréés. Parmi ces ressources, on trouve les Principes généralement reconnus en matière de protection des renseignements personnels, un cadre mondial de référence pour la protection des renseignements personnels qui a été élaboré par l’ICCA et l’American Institute of Certified Public Accountants, afin de créer une norme nord-américaine qui tient compte des exigences internationales. Nicholas Cheung est comptable agréé et Certified Information Privacy Professional/Canada, le programme canadien de certification destiné aux professionnels de la protection des renseignements personnels (CIPP/C).

M. Chris Turner
Chris Turner se joint au Information Commissioner’s Office (Commissariat à l’information) vers la fin de 2002 et s’occupe d’abord de la gestion des activités d’observation, dans le domaine de la réglementation et des tribunaux. Après avoir accepté le rôle de développer la capacité de vérification du Commissariat, il est nommé chef de la vérification et des recours au sein de la division des mesures réglementaires en 2005. Avant d’arriver au Commissariat, Chris travaille pendant plus de 30 ans dans le domaine des technologies de l’information. Il se charge surtout de la gestion de projets et de l’analyse de systèmes dans un groupe varié d’organisations chevauchant plusieurs secteurs, dont les loisirs, les finances et la fabrication.

M. Joel Winston
Joel Winston est directeur adjoint de la Division des renseignements personnels et de la protection de l’identité au Bureau de la protection du consommateur de la Commission fédérale du commerce. Cette Division se charge notamment de diverses questions liées à la qualité des données, à la protection des renseignements personnels des consommateurs, au vol d’identité et aux rapports de solvabilité. M. Winston est membre du Groupe de travail sur le vol d’identité, qui relève du gouvernement fédéral, et qui a été créé par le président Bush en mars 2006. Avant d’occuper ce poste, il a été directeur adjoint de la Division des pratiques financières à la Commission fédérale du commerce, poste qu’il a occupé après avoir été directeur adjoint de la Division des pratiques publicitaires de la Commission. M. Winston donne souvent des conférences et des conseils, dans les milieux d’affaires et juridiques, qui portent sur diverses questions touchant la protection des consommateurs. C’est à l’Université du Michigan qu’il a obtenu ses diplômes de premier cycle et de droit.

TERRA INCOGNITA
Les horizons de la protection de la vie privée

29^e Conférence internationale des commissaires à la protection des données et de la vie privée

En Route vers les vérifications internationales en matière de protection des renseignements personnels
Par: Stewart Dresner et Valerie Taylor
Privacy Laws & Business

Document commandé par le Commissariat à la protection de la vie privée du Canada. Les opinions et vues contenues dans ce document n’engagent que leur auteur et ne reflètent pas nécessairement les vues et positions du Commissariat à la protection de la vie privée du Canada ni ceux du Gouvernement du Canada.

Introduction

La présente étude a été réalisée à la demande du Commissariat à la protection de la vie privée du Canada en vue de la 29e Conférence internationale des commissaires à la protection des données et de la vie privée, qui se tiendra à Montréal (Canada) du 25 au 28 septembre 2007.

Dans bon nombre de pays, les organismes responsables de la protection des données ne font pas de distinction entre une vérification de la conformité et une inspection sur place découlant d’une plainte susceptible d’entraîner une sanction pénale. Les pouvoirs légaux conférés à ces organismes pour la réalisation de vérifications varient d’un pays à l’autre – par exemple, en ce qui a trait à la possibilité de procéder à une vérification avec ou sans le consentement de l'organisation. Aussi ce rapport vise-t-il à dégager des traits communs aux pratiques de vérification en matière de protection de la vie privée dans différents pays.

La distinction entre une vérification et une inspection demeure subtile. Il n’existe pas de définitions et de critères communs pour différencier les deux concepts. Outre les nuances linguistiques, il faut tenir compte des facteurs suivants :

• les concepts juridiques;
• les pouvoirs conférés aux organismes responsables de la protection des données;
• les ressources allouées aux vérifications;
• les attitudes adoptées à l’égard des exercices de vérification.

Le récent document publié par le Groupe de travail de l’OCDE à ce sujet ainsi que l’Étude sur la vérification réalisée par la commissaire à la protection de la vie privée du Canada donnent de plus amples détails sur le traitement des vérifications en vertu de différentes lois nationales, en plus de commenter, dans une certaine mesure, les approches préconisées. Cependant, leur lecture ne procure pas d'information sur la façon dont procèdent les organismes nationaux de protection des données pour effectuer des vérifications régulières.

Les auteurs du présent rapport tentent de dépasser les dispositions légales pour étudier :

1. la façon dont les organismes chargés de la protection des données en France, en Espagne et au Royaume-Uni effectuent les vérifications régulières;
2. quelques exemples observés dans d’autres pays;
3. les efforts de coopération entre différents organismes nationaux participant à des vérifications d’envergure internationale;
4. le recours aux vérifications comme outils visant à assurer la conformité;
5. les avantages attendus des vérifications pour les organismes responsables de la protection des données ainsi que pour les préposés au contrôle et au traitement des données.

De plus, les auteurs proposent des pratiques exemplaires à suivre pour les vérifications relatives à la protection des données (voir pages 15-16). Ces propositions pourront faire l’objet de discussions lors de l’atelier sur les vérifications qui aura lieu en septembre dans le cadre de la 29e Conférence internationale des commissaires à la protection des données et de la vie privée.

Terminologie

L’évaluation des pouvoirs accordés dans diverses juridictions permet d’établir les distinctions terminologiques suivantes.

Vérification de la conformité
Il s’agit d’une évaluation proactive des méthodes et des procédures de traitement des données suivies à l’intérieur d’une organisation, qui vise à déterminer le niveau de conformité général de cette dernière aux lois sur la protection des données, et à cerner et à encourager les pratiques exemplaires. Les vérifications de la conformité peuvent se produire dans différentes circonstances :

1. Vérifications imposées : Les organismes responsables de la protection des données utilisent ces vérifications pour améliorer le niveau de conformité d’une organisation. Les vérifications peuvent être imposées en raison de mesures d’application ou de réglementation, à moins que les organisations concernées ne soient contraintes de les demander « volontairement »;
2. Vérifications volontaires : De telles vérifications sont effectuées à la demande d’organisations qui veulent déterminer ou améliorer leur niveau de conformité.

Enquête ou inspection
Il s’agit d’une enquête sur des activités spécifiques de traitement des données au sein d'une organisation, lesquelles sont soupçonnées d'être non conformes aux lois sur la protection des données. Une telle enquête peut se solder par des sanctions ou d’autres mesures d’application. Elle peut être entreprise dans deux cas :

• Enquête amorcée suite à une plainte : L’enquête résulte d’une plainte déposée par une personne lésée par la non-conformité présumée;
• Enquête émanant de l'organisme : L’enquête résulte de l’initiative d’un organisme responsable de la protection des données ou d’une enquête journalistique sur des questions alimentant de grandes discussions ou suscitant des préoccupations publiques.

Différences
Généralement d’une vaste portée, les vérifications de la conformité peuvent toucher une organisation ou une fonction entière, alors que les enquêtes ou les inspections ciblent habituellement des questions précises.

Par ailleurs, toute mesure d’application résultant d’une enquête ou d’une inspection peut habituellement être contestée – ce qui n’est pas toujours possible dans le cas d’une vérification de la conformité.

Quelques définitions utiles

Vérification de la conformité [traduction] : Examen officiel et complet des pratiques de gestion des renseignements personnels, des politiques connexes, des systèmes et des ressources documentaires d’une organisation, afin de déterminer la mesure dans laquelle celle-ci se conforme aux lois et aux normes relatives à la protection de la vie privée, et en vue de la présentation de rapports officiels à ce sujet.
Commissariat à la protection de la vie privée du Canada

Audit : Mission d’examen et de vérification de la conformité [aux règles de droit, de gestion] d’une opération, d’une activité particulière ou de la situation générale d’une entreprise.
Petit Robert

Vérification de la conformité [traduction] : Examen complet et indépendant visant à déterminer si les activités liées au traitement des données à caractère personnel sont conformes aux politiques et aux procédures en matière de protection des renseignements personnels dont s’est dotée une organisation, et si ce traitement répond aux exigences de la Data Protection Act (loi sur la protection des données) de 1998. Cette loi britannique présente la vérification de la conformité comme une évaluation des efforts déployés pour appliquer des pratiques exemplaires.
UK Information Commissioner (commissaire à l’information du R.-U.)

Pouvoirs de vérification et d’enquête relatifs à la protection de la vie privée : une comparaison entre juridictions choisies

Les vérifications relatives à la protection de la vie privée au Canada

Au Canada, près des deux tiers des diverses lois sur la protection de la vie privée confèrent des pouvoirs en matière de vérification aux organismes de supervision provinciaux, territoriaux et fédéral. Les autres lois ne contiennent aucune disposition sur les vérifications relatives à la protection de la vie privée. Or, sans de telles dispositions, les organismes de supervision n’ont pas l’autorisation légale de procéder à des vérifications.

Seuls le Commissariat à la protection de la vie privée du Canada et la Commission d’accès à l’information du Québec ont procédé à des vérifications de portée significative, et seul le premier semble avoir opté pour un programme continu de vérifications officielles de la conformité. Les vérifications sont surtout effectuées dans le secteur public, mais elles commencent depuis peu à toucher aussi des organisations du secteur privé.

Sur le plan juridique, les organismes de supervision canadiens pourraient élargir considérablement la portée de leurs activités de vérification, mais cette option n’est pas retenue dans les faits. Le manque de ressources semble l’explication la plus vraisemblable à cet égard.

Cependant, les pouvoirs de vérification accordés aux divers organismes de supervision canadiens varient beaucoup. Cette situation complique la mise en commun des connaissances et des pratiques exemplaires, en plus de décourager les tentatives de vérifications transfrontalières. Dans ce contexte, il n’est peut-être pas étonnant que la plupart des vérifications soient effectuées par l'organisme de supervision fédéral doté des pouvoirs les mieux définis et les plus vastes. Ces pouvoirs ne consistent pas seulement en l’autorisation légale de procéder à des vérifications, mais aussi en des pouvoirs accessoires, comme ceux d’assigner des témoins, de contraindre au dépôt de preuves, de visiter les lieux et d’exiger la production de documents et de dossiers.

Les vérifications relatives à la protection de la vie privée en France

Les lois françaises sur la protection de la vie privée confèrent à la Commission nationale de l’informatique et des libertés (CNIL) des pouvoirs qui, considère-t-on, comprennent celui de procéder à des vérifications, sous perquisition ou à la demande d’une organisation.

Les équipes d’inspection sont habituellement composées de trois personnes : un conseiller juridique, un expert en TI et un ancien agent de police. Le programme d’inspection n’est pas publié à l’avance, et les résultats d’inspection ne sont pas communiqués publiquement. La CNIL remet un rapport à l’organisation concernée au terme de l’inspection, sauf si la vérification ne conclut à l’existence d’aucun problème.

Ces dernières années, la CNIL a effectué un certain nombre d’inspections majeures dans les secteurs public et privé. Les organisations et les secteurs qui doivent faire l’objet d’une inspection sont sélectionnés en fonction des plaintes reçues (de la part de particuliers ou de la presse) ou des problèmes cernés par la CNIL lors de la notification ou avant les processus d’autorisation. C’est la raison pour laquelle ces inspections appartiennent à la catégorie des « inspections menées sur l'initiative de l'organisme » dans le domaine de l’application des lois. Aucune vérification de la conformité n’a été réalisée.

Sur le plan juridique, la CNIL pourrait procéder à des vérifications de la conformité. Elle est d’ailleurs en train de sonder les possibilités offertes par les pouvoirs de contrainte qui ont été renforcés ces dernières années. Toutefois, elle ne dispose pas des ressources nécessaires pour effectuer des vérifications plus vastes, d’où son choix de concentrer ses efforts sur les enquêtes liées à l’application dans les cas où elle a découvert des risques potentiels pour les personnes, comme des renseignements sur le casier judiciaire, des données sur la santé et de l’information financière. Cette approche pourrait changer à mesure que les pouvoirs de contrainte de la CNIL se raffineront et si celle-ci obtenait des ressources supplémentaires.

Les vérifications relatives à la protection de la vie privée au Royaume-Uni

La loi sur la protection de la vie privée en vigueur au Royaume-Uni donne à l’Information Commissioner’s Office (Bureau du commissaire à l’information) (ICO) le pouvoir particulier de procéder à des vérifications, plus précisément à une « évaluation » des processus de traitement afin de déterminer si une organisation recourt aux pratiques exemplaires. Ce pouvoir s’ajoute aux pouvoirs de contrainte lui permettant d’effectuer des enquêtes de sa propre initiative ou suite au dépôt d'une plainte.

L’équipe de vérification est habituellement composée de deux ou trois experts spécialisés dans la protection des données, dont l’un pourrait avoir de l'expérience dans le domaine de la TI – bien que l’ICO envisage de faire appel à des spécialistes lorsque des connaissances techniques plus pointues sont requises. L’organisation concernée reçoit un rapport après la vérification, mais le contenu de celui-ci n’est pas rendu public. En général, les vérifications font état de problèmes liés à l’accès des personnes à leurs renseignements personnels, à la conservation des données et à la gestion interne.

Fort d’un programme de vérification bien rodé, l’ICO a procédé à un nombre important de vérifications au cours des dernières années. Les vérifications peuvent être amorcées par une plainte ou une autre mesure d’application, à moins d’être effectuées à la demande d’une organisation désireuse d’améliorer sa conformité. Certaines vérifications peuvent être menées dans des secteurs alimentant d’importants débats publics ou touchés par un nombre considérable de changements, comme le secteur de la santé.

Toutes les vérifications sont réalisées avec le consentement de l’organisation, et les renseignements sont fournis sur une base volontaire. L’autorisation légale d’entrer dans les locaux d’une organisation n’est habituellement accordée que lors de cas sérieux de non-conformité ou dans le cadre d’enquêtes criminelles. L’ICO a publié des lignes directrices exhaustives en matière de vérification (voir la bibliographie, p. 26).

L’ICO a découvert que les exercices de vérification lui permettaient d’observer les organisations et leur façon de traiter les données à caractère personnel dans la pratique, en plus de contribuer à l’amélioration des relations avec elles. Sous cet angle, les vérifications aident le personnel de l’ICO à mieux comprendre les difficultés éprouvées au quotidien, inhérentes aux activités visant la conformité. De plus, elles fournissent des indications utiles qui peuvent enrichir les recommandations de l’ICO. Actuellement en période de croissance, l’équipe de vérification de l’ICO continuera de promouvoir la vérification comme outil de sensibilisation à la protection des données et afin d'encourager les organisations à se conformer aux règles et à adopter des pratiques exemplaires.

Les vérifications relatives à la protection de la vie privée en Espagne

En Espagne, les règles relatives aux inspections et aux vérifications sont précisées dans les lois et un décret royal. La Agencia Española de Protección de Datos (Agence espagnole de protection des données), dont les employés affectés aux vérifications sont plus nombreux que dans la plupart des autres pays de l’Union européenne, profite de cette approche en raison de la certitude juridique qu’elle apporte. Cependant, comme la loi exige de cet organisme qu’il évalue chaque plainte en tenant compte de sa mission, qui est de servir les citoyens, sa direction ne peut allouer des ressources aux vérifications en fonction des priorités et du bien‑fondé de chaque cas. Les nouveaux règlements dont on prévoit l’adoption d’ici la fin de 2007 devraient permettre à la direction de l’Agence espagnole de protection des données de jouir d’une plus grande marge de manœuvre dans le traitement des plaintes.

Il existe deux types de vérifications : les vérifications qui découlent d’une plainte et qui risquent d’entraîner une sanction pénale et les vérifications préventives, qui reposent sur une enquête dans un secteur particulier et qui sont susceptibles de se solder par des recommandations au sujet des pratiques exemplaires.

Munis du document d’autorisation de la direction, les inspecteurs détiennent les pouvoirs dont ils ont besoin pour visiter les lieux et obtenir des documents. Les organisations sont cependant incitées à coopérer dans la mesure où l’entrave au travail des inspecteurs constitue une infraction en soi qui peut justifier l’imposition d’une amende supplémentaire.

La plupart des vérifications ont lieu à la suite de plaintes déposées par des particuliers auprès de l’Agence espagnole de protection des données. Les secteurs des télécommunications et des services financiers sont ceux où les inspections sont les plus nombreuses.

Coopération internationale

L’Espagne a piloté le projet visant la tenue d’une vaste vérification dans le secteur de l’assurance-maladie, dans les pays de l’Union européenne, en 2006 et en 2007. Comme les pouvoirs conférés aux organismes nationaux diffèrent considérablement d’un pays à l’autre, cette vérification a pris la forme d’un questionnaire écrit. Le rapport a été approuvé par le Groupe de travail de l’article 29 sur la protection des données, le 21 juin 2007. Il a été rappelé, lors de la déclaration, que, [traduction] « bien que la plupart des entreprises connaissent les règles sur la protection des données, on continue d’observer des faiblesses dans certains secteurs. Aussi le Groupe de travail maintiendra-t-il sa coopération avec l’industrie de l’assurance-maladie en lui faisant part de recommandations pour encourager les politiques visant à améliorer la protection de la vie privée, et sensibiliser les clients à ces enjeux. »

L’Agence espagnole de protection des données est arrivée à deux conclusions :

1. Les efforts de coopération internationale dans le cadre de vérifications et de nombreux autres exercices sont beaucoup plus fructueux si seuls quelques pays y participent (et si leurs outils d’application sont similaires);
2. Le manque de ressources humaines et financières fait en sorte qu’une vérification internationale s’avérera plus utile si elle porte sur une question prioritaire pour tous les partenaires nationaux d’un projet.

Méthode de vérification

Les vérifications sont confiées à une équipe de deux experts en TI spécialisés dans les lois relatives à la protection des données. Aucune distinction n’est établie entre une vérification de nature juridique et une vérification relative à la sécurité des données. Les inspecteurs remettent la preuve à l’équipe juridique de l’Agence espagnole de protection des données, qui recommande des mesures à la direction.

Les conclusions les plus fréquentes ont trait à des lacunes en matière de sécurité des données, à une mauvaise utilisation des données par certains employés et à la rareté ou à l’absence de registres et, par le fait même, de traces de vérification.

Conclusion

L’Agence espagnole de protection des données considère les inspections et les vérifications comme des exercices très utiles du fait qu’elles permettent d’assurer la conformité sans entraîner d’amendes. Les recommandations qui en découlent aident à sensibiliser les intervenants de tous les secteurs aux avantages que procurent les pratiques exemplaires en matière de protection des données.

L’objectif le plus important auquel travaille maintenant l’Agence est de pouvoir fixer ses priorités et choisir ses méthodes de vérification au lieu d’être enjointe par les lois à enquêter sur toutes les plaintes, même celles d’une importance négligeable. La direction aspire à des relations centrées sur le dialogue plutôt que sur la confrontation, et ne réserve cette dernière approche qu’aux cas où des procédures judiciaires fermes sont requises en raison des faits et non des lois.

Les vérifications relatives à la protection de la vie privée dans d’autres juridictions

Des 14 pays étudiés dans l’Étude sur la vérification de la commissaire à la protection de la vie privée du Canada (décembre 2006), seulement deux ne prévoient pas de pouvoirs, explicites ou implicites, pour effectuer des vérifications de la conformité aux règles relatives à la protection de la vie privée.

Dans la plupart des pays, les pouvoirs de vérification des organismes de supervision découlent du pouvoir de procéder, de leur propre initiative, à des enquêtes ou des examens. Comme l’ont découvert les auteurs de l’étude, la portée des vérifications et l’éventail des pouvoirs accessoires accordés aux organismes de supervision varient grandement d’un pays à l’autre. La plupart des lois sont axées sur le traitement des plaintes et des infractions connexes aux lois sur la protection de la vie privée, ainsi que sur les activités de surveillance réglementaires (le rapport de l’OCDE dont nous faisons mention en témoigne). Il est probable que le manque de ressources contribue également à ce que les vérifications de la conformité soient, en toute apparence, de moindre priorité.

Australie

Rares sont les pays, semble-t-il, qui ont publié des manuels ou des méthodes de vérification, ou qui se sont officiellement dotés de programmes de vérification de la conformité. En Australie, l’Office of the Privacy Commissioner (Bureau du commissaire à la protection de la vie privée) (OPC) est l’un des seuls à avoir publié un manuel d’auto-vérification pour trois secteurs de l’industrie qui suscitent des inquiétudes. Il se distingue aussi par la réalisation de vérifications régulières dans les organismes gouvernementaux et, depuis 2002, par la publication des rapports de vérification sur son site Web. En 2005-2006, cet organisme a procédé à des vérifications uniquement dans les cas où il disposait de fonds distincts pour le faire. Bien que les vérifications apportent des avantages mesurables à la fois pour lui et pour l’organisation concernée, l’OPC a pris la décision stratégique de centrer ses ressources sur le traitement des plaintes.

Pays-Bas

Le College Bescherming Persoonsgegevens (organisme hollandais de protection des données) a publié un cadre de vérification en matière de protection de la vie privée pour guider ceux qui souhaitent procéder à des vérifications de la conformité aux règles relatives à la protection de la vie privée, bien que, pour sa part, cet organisme axe ses efforts sur les enquêtes plutôt que sur les vérifications (voir la bibliographie, p. 26).

Nouvelle-Zélande

En Nouvelle-Zélande, des autovérifications sont effectuées dans le cadre d’un processus d’autorisation visant le jumelage de renseignements et l’établissement de rapports sur la solvabilité afin de s’assurer que ces activités sont menées conformément aux lois relatives à la protection de la vie privée. Les vérifications sont remises au

Privacy Commissioner (commissaire à la protection de la vie privée). Ce processus permettrait d’améliorer la surveillance réglementaire dans ces secteurs.

Contrôleur européen de la protection des données

Le contrôleur européen de la protection des données (CEPD) est responsable de la protection des renseignements personnels et de la vie privée ainsi que de la promotion des pratiques exemplaires dans les institutions et les organismes de l’Union européenne (UE). Le CEPD procède actuellement à une vérification d’Eurodac, la base de données des empreintes digitales des immigrants illégaux et des demandeurs d’asile présents dans l’UE. Un rapport de cette vérification approfondie est attendu pour le milieu de l’année 2007. Le perfectionnement des connaissances en matière de vérification au sein de cet organisme pourrait contribuer à la mise en œuvre d’un plus grand nombre de projets de vérification à l’avenir.

Y a-t-il un avenir pour la coopération transfrontalière en Europe et ailleurs dans le monde?

Groupe de travail de l’article 29 – Déclaration sur l’application [25 novembre 2004]
Le Groupe de travail de l’article 29 s’est notamment penché sur l’utilité des programmes d’enquête et de vérification comme moyens de promotion de la conformité. Ces programmes pourraient aider les organisations à comprendre plus précisément la façon d’appliquer les règles sur la protection des données dans un secteur particulier. Ils pourraient aussi faciliter le travail des autorités de protection des données dans la création de politiques et de lignes directrices pertinentes, en mettant l’accent sur la façon d’assurer la conformité des contrôleurs de données.

Groupe de travail de l’Organisation de coopération et de développement économiques sur la sécurité de l’information et la vie privée : Rapport sur l’application transfrontière de la législation relative à la vie privée [16 octobre 2006]
Le Groupe de travail sur la sécurité de l’information et la vie privée (GTSIVP) de l’OCDE a récemment déposé un rapport sur l’application transfrontalière des lois relatives à la protection de la vie privée. Ce rapport présente quelques options pour faciliter la coordination des mesures d’application et des mécanismes de conformité transfrontaliers.

La plupart des organismes de supervision interrogés dans le cadre de ce rapport ont répondu qu’ils ne disposaient pas des pouvoirs appropriés pour échanger de l’information et mener des enquêtes en collaboration avec des autorités étrangères ou à la demande de ces dernières, et qu’ils tireraient profit de tels pouvoirs. Les efforts déployés pour accroître la portée des mesures d’application transfrontalières se trouvent entravés non seulement par le manque de pouvoirs accordés, mais aussi par des problèmes de cohérence notés dans certains régimes juridiques, par le manque de ressources et par l’établissement de priorités différentes d’un organisme de supervision à l’autre.

Si, en général, les organismes de supervision n’ont pas fait état d’un nombre important de plaintes transfrontalières, les percées technologiques et la mondialisation des échanges commerciaux incitent à penser que la circulation transfrontalière de données continuera d’augmenter. Les gains en efficacité sur les plans commercial et technologique ont pour corollaire une augmentation des risques à l'endroit de la protection de la vie privée. Il importe donc de s’attaquer aux défis que posent l’application des lois et la coopération transfrontalière.

Rapport de la Commission européenne sur la mise en œuvre de la directive sur la protection des données et suivi du programme de travail [7 mars 2007]
L’une des tâches définies par la Commission européenne vise à atténuer les différences nationales et à mieux harmoniser les lois sur la protection des données en Europe. On s’est entendu sur le principe de l’harmonisation des mesures d’application nationales à l’échelle européenne et on encourage les autorités responsables de la protection des données à adapter leurs pratiques intérieures à la position commune.

Dans la pratique cependant, même si les lois nationales prescrivant l’application des mêmes principes (p. ex. la Directive sur la protection des données de l’Union européenne 95/46/EC ou les directives de l’OCDE), les différences d’interprétation et l’importance des motivations culturelles et historiques, ainsi que des raisons juridiques, peuvent entraver la coopération entre les autorités et compliquer la mise en œuvre de vérifications conjointes ou simultanées.

Les organismes de supervision européens doivent coopérer les uns avec les autres, en vertu de la Directive sur la protection des données. Il est cependant peu courant pour ces organismes de coopérer de façon proactive avec d’autres autorités équivalentes à l’extérieur de l’Europe, en raison des pouvoirs juridiques moins importants. On

trouve pourtant des exemples de coopération de ce genre, comme le mémorandum officiel qui lie l’Agence espagnole de protection des données et la commission fédérale du commerce des États-Unis (United States Federal Trade Commission) dans la coopération pour la lutte contre le courrier électronique non sollicité, ou « pourriels ».

En Europe, il est possible de demander l’aide au Groupe de travail de l’article 29 pour des initiatives paneuropéennes de vérifications et de mise en application de la loi. Le Groupe de travail a récemment enquêté sur le secteur de l’assurance-maladie dans tous les pays membres de l’Union européenne. Les autorités de protection des données nationales ont fait parvenir des questionnaires aux entreprises d’assurance-maladie de leur juridiction – il s’agissait du seul moyen de recueillir systématiquement des renseignements dans tous les pays, en raison des pouvoirs variés des autorités de protection des données en Europe.

La coopération entre les autorités de protection des données en matière de vérifications transfrontalières peut s’avérer plus efficace dans la pratique si elle engage deux ou trois pays plutôt qu’un grand nombre d’entre eux.

Règles d’entreprise contraignantes
Le Groupe de travail de l’article 29 a diffusé plusieurs lignes directrices et rapports sur l’utilisation des Règles d'entreprise contraignantes en vue de protéger adéquatement les renseignements personnels transférés d’un pays à l’autre par un groupe d’entreprises. Les règles d'entreprise contraignantes d’une organisation doivent prévoir l’apport de vérificateurs internes ou de vérificateurs externes, ou une combinaison des deux. Le plan de vérification de l'organisation doit aussi prévoir la vérification par les autorités de protection des données. Il est par conséquent possible que la popularité grandissante des règles d'entreprise contraignantes fasse augmenter la demande de vérifications effectuées par des autorités de protection des données dans le cadre d’examens de la conformité.

Utilisation des vérifications en tant qu’outil de conformité

Dans les juridictions où des vérifications sont effectuées, les avantages perçus sont nombreux.

Promotion des vérifications

Là où il y a déjà des vérifications

Il n’est pas nécessaire de promouvoir la vérification là où l’organisme responsable de la protection des données a le pouvoir de faire des vérifications à sa discrétion et à tout moment. Cependant, la capacité d’effectuer des vérifications efficientes et efficaces dépend grandement de la coopération de l’organisation, du maintien de bonnes relations de travail et de la passation d’une entente sur la mise en œuvre des recommandations de la vérification. Cela est particulièrement important si les recommandations ne sont pas contraignantes parce que l’organisme chargé de la protection des données n’a pas de pouvoir d'ordonnance – comme c’est le cas à l'échelon fédéral au Canada.

La réalisation des vérifications sur une base consensuelle encourage la participation. Les organisations qui se prêtent à une vérification montrent leur volonté de se conformer et d’adopter des pratiques exemplaires.

Le fait de ne pas publier les noms et les résultats des vérifications peut aussi encourager les organisations à participer de manière volontaire aux vérifications. « Nommer et humilier » peut décourager la participation à un programme de vérification. Cependant, cette approche ne doit pas être confondue avec la publication des sanctions officielles.

Les vérifications aident le personnel des organismes chargés de la protection des données à développer ses connaissances sur les difficultés pratiques de la conformité dans les activités quotidiennes. Elles lui permettent aussi d’enrichir ses recommandations en matière de pratiques exemplaires.

On décrit souvent les vérifications comme des outils de promotion de la conformité. Leur efficacité peut être évaluée, dans une certaine mesure, par la comparaison du nombre de plaintes reçues au sujet d’une organisation, avant et après la vérification.

De prime abord, l’efficacité d’une vérification peut aussi être évaluée d’après la réaction de l’organisation aux recommandations. Les met-elle en œuvre immédiatement ou seulement après le dépôt du rapport et le « départ » des vérificateurs?

Là où il y a peu ou pas de vérification

Les ressources sont problématiques pour tous les organismes chargés de la protection des données. C’est pourquoi ils orientent leurs mesures d’application de la loi sur les problèmes qui ont une incidence importante sur les particuliers. La vérification est proactive et les organismes responsables de la protection des données ne disposent pas toujours du temps ou des ressources nécessaires pour se consacrer à ces mesures. Cependant, ce type de vérification offre d’autres avantages :

• Elle permet de créer et de développer des relations et des canaux de communication avec les organisations;
• Elle encourage l’adoption de pratiques exemplaires;
• Elle encourage la transparence et la collaboration.

Les vérifications qui visent les secteurs à haut risque pourraient entraîner une diminution du temps accordé aux mesures d’application de la loi.

En outre, les vérifications pourraient ouvrir la voie à l’élaboration d’un programme d’attestation officielle qui permettrait aux organisations qui font l’objet d’une vérification par un organisme chargé de la protection des données de recevoir un « sceau d’approbation ». Les organisations pourraient y voir une valeur commerciale ajoutée et, du coup, accepter de payer pour le service. De leur côté, les autorités de protection des données pourraient utiliser ces ressources supplémentaires pour entreprendre des activités dans d’autres domaines d’application de la loi ou pour promouvoir des pratiques exemplaires.

La promotion de l’auto-évaluation

Rien n’empêche les organismes responsables de la protection des données de promouvoir et de soutenir également l’autovérification (l’auto-évaluation) par les organisations. Il s’agit d’un outil prometteur. Étant donné le grand nombre d’organisations, il serait sans doute plus productif pour celles-ci d’évaluer elles-mêmes leurs pratiques relatives à la protection de la vie privée pour en vérifier la conformité et en favoriser l’amélioration continue. Une autovérification s’inscrirait dans un cadre bien établi de gestion de la protection de la vie privée. Idéalement, les organisations devraient « se surveiller » elles-mêmes. L’organisme chargé de la protection des données pourrait demander aux organisations de répondre à la question suivante : « comment gérez‑vous la protection de la vie privée? », ce qui pourrait déclencher chez elles un processus de réflexion efficace.

Portée d’une vérification

Une vérification peut sensibiliser davantage une organisation à la protection des données. Les personnes qui participent à une vérification réfléchissent aux questions et aux problèmes que pose la protection des données avant, pendant et après la vérification.

En règle générale, il existe trois approches reconnues pour déterminer la portée d’une vérification.

Ciblée et en profondeur
Plus l’approche est ciblée, plus les vérificateurs sont en mesure de formuler des recommandations claires et précises à l’intention de l’organisation. Les recommandations sont plus utiles et faciles à comprendre et à mettre en œuvre si elles mettent l’accent sur un aspect précis des procédures de traitement des données plutôt que sur l’ensemble des activités de l’organisation.

Vaste et en surface
Une vérification dont la portée est plus grande exige la participation d’un plus grand nombre de personnes au sein de l’organisation et peut contribuer à accroître l’importance accordée à la protection des données.

Vaste et en profondeur
Si le temps et les ressources le permettent (ou si des ressources limitées peuvent y être consacrées en même temps), l’approche vaste et en profondeur aura les plus importantes retombées à long terme. Les autorités de protection des données semblent ne réaliser que très peu de vérifications de ce genre, mais le Commissariat à la

protection de la vie privée du Canada a procédé à ce genre de vérifications exhaustives (voir le site Web www.privcom.gc.ca).

Il faut toujours trancher entre la possibilité de faire une vérification vaste dans quelques organisations et celle de vérifier plus d’organisations de manière plus ciblée ou en surface. C’est particulièrement le cas pour les organismes qui couvrent tous les secteurs, comme en Europe, mais qui n’ont pas le temps et ne disposent pas de ressources humaines et financières suffisantes.

Chaque approche a ses avantages et ses inconvénients. Peu importe l’approche privilégiée, il est essentiel de faire des entrevues avec le personnel concerné de l’organisation pour bien comprendre le mode de traitement des renseignements personnels de cette dernière.

Conclusion

Dans la plupart des juridictions examinées, il n’y a pas de « vérifications de conformité » proprement dites. De nombreuses vérifications font suite à des plaintes ou à des cas présumés de non-conformité aux lois sur la protection de la vie privée, et devraient éventuellement être considérées comme des enquêtes ou des mécanismes d’application.

L’utilisation des vérifications en tant qu’outil de promotion de la conformité et des pratiques exemplaires de protection des données pose certains défis.

1. Les organismes chargés de la protection des données n’ont pas toujours de pouvoirs juridiques, ce qui limite la vérification et les activités connexes, comme l’accès aux lieux et aux documents.
2. Les restrictions sur les échanges de renseignements entravent les activités transfrontalières en particulier.
3. L’incompatibilité des régimes juridiques, tant à l’intérieur qu’à l’extérieur d’un pays, peut nuire à la coopération dans les projets de vérification.
4. Étant donné l’insuffisance des ressources, il faut d’abord traiter les plaintes. Les vérifications n’arrivent qu’au deuxième rang des priorités.
5. Les priorités en termes de conformité sont divergentes.

Cependant, les vérifications de la conformité présentent des avantages notables.

• Elles font la promotion de la conformité et des pratiques exemplaires au sein de l’organisation qui fait l’objet d’une vérification;
• Elles sont un outil de changement, améliorant les systèmes de protection de la vie privée et encourageant la responsabilisation en matière de vie privée;
• Elles atténuent les risques d’atteinte à la vie privée;
• Elles informent le personnel des organismes responsables de la protection des données;
• Elles aident les organismes responsables de la protection des données à formuler des directives et des recommandations éclairées;
• Elles contribuent au développement des relations et favorisent une communication ouverte avec les organisations.

Sans une augmentation des ressources accordées aux autorités de protection des données, il semble peu probable que les niveaux très variables de l’activité de vérification changeront.

Suggestions aux fins de discussion : un modèle de vérification pour les organismes responsables de la protection des données

Dans tous les cas, une vérification est une évaluation systématique du traitement qu'effectue une organisation des données à caractère personnel. Il s’agit d’une procédure régulière pour l'autorité de protection des données, mais d’une expérience ponctuelle pour l’organisation qui en fait l’objet et sa direction. Il semble donc logique de discuter d’un modèle de vérification pour les organismes chargés de la protection des données dans le but de rendre la procédure plus ordonnée et prévisible.

Chaque organisme national responsable de la protection des données pourrait comparer ses pratiques de vérification au modèle et envisager d’intégrer les nouveaux éléments suggérés dans son système de vérification si ses pouvoirs juridiques le lui permettent, ou encore de proposer une modification à la loi applicable.

En outre, l’atelier prévu dans le cadre de la 29e Conférence internationale des commissaires à la protection des données et de la vie privée, qui se tiendra à Montréal du 25 au 28 septembre 2007, est l’occasion d’étoffer et d’améliorer le plan du modèle de vérification présenté ci-dessous.

Modèle de vérification pour les autorités de protection des données

L’organisme chargé de la protection des données devrait avoir le pouvoir :

1. de choisir les préposés au contrôle et au traitement des données à vérifier;
2. d’entrer dans les locaux de ces préposés;
3. d'exiger la production de documents et de dossiers;
4. d’obtenir des réponses à ses questions;
5. de publier les résultats de la vérification sans révéler les secrets commerciaux ou les renseignements confidentiels;
6. de procéder à une vérification de suivi, au besoin;
7. autre chose?

Une organisation vérifiée devrait être dans l’obligation :

1. de coopérer avec les vérificateurs en leur fournissant des renseignements et l’accès aux systèmes, par exemple;
2. d’expliquer aux vérificateurs le mode de traitement des données à caractère personnel et les fins de ce traitement, et d'identifier les personnes qui procèdent à ce traitement;
3. autre chose?

Un préposé au contrôle ou au traitement de données qui fait l’objet d’une vérification par un organisme chargé de la protection des données devrait avoir le droit :

1. d’être informé à l’avance – par exemple, au moins une semaine à l'avance – afin de prévoir une journée qui convient à tous (ce processus doit être distingué de celui du traitement d’une plainte au sujet d’une pratique contraire à la loi susceptible d’entraîner une sanction pénale et traitée dans le cadre d’une enquête au statut juridique différent);
2. d’être informé de la méthode de vérification employée par l’organisme chargé de la protection des données;
3. de discuter à l’avance de la portée de la vérification avec l’organisme chargé de la protection des données (par exemple, des processus, des lieux, du nombre de personnes à interviewer et des postes de ceux-ci);
4. d’accompagner les vérificateurs sur les lieux pour faciliter les discussions avec le personnel de différents niveaux (mais pas au moment des entrevues avec un employé ou un groupe d’employés, afin que ceux-ci puissent parler librement);
5. de nommer des employés de la TI qui travailleront avec l’équipe de vérification pour veiller à ce que les systèmes de TI ne soient pas endommagés pendant les étapes de la vérification;
6. de recevoir, à la fin de la vérification, une copie de l’ébauche du rapport pour s’assurer que la direction puisse lire les observations et qu’elle discute des éléments conflictuels pour essayer de les résoudre (ce rapport devrait être signé pour montrer qu’il a bel et bien été lu et qu’il a fait l’objet d’une discussion);
7. d’obtenir un délai [quatre semaines?] pour formuler ses commentaires sur l’ébauche du rapport avant qu’il ne soit publié [et de faire publier ceux-ci avec le rapport de l’organisme chargé de la protection des données?];
8. d’obtenir un délai raisonnable pour corriger les faiblesses relevées par la vérification avant le suivi;
9. autre chose?

Annexe : Rapports des pays

1. France – Commission nationale de l’informatique et des libertés (CNIL)

Réunion du 5 juin 2007
Clarisse Girot – Directrice des relations européennes et internationales, CNIL
Florence Fourets – Directrice de l’expertise informatique et des contrôles, CNIL
Valerie Taylor – Conseillère, Privacy Laws and Business

Contexte législatif
En 2004, la loi sur la protection des données a été modifiée en France, en partie pour que de nouveaux pouvoirs d’application et de sanctions soient accordés à l’autorité de réglementation (CNIL). Avant, la CNIL s’appuyait grandement sur la procédure de notification pour cerner les problèmes d’organisations en particulier.

La loi ne mentionne pas précisément le recours à des vérifications. La CNIL détient le pouvoir de procéder à des « vérifications » et elle peut entrer dans les locaux d’une organisation (à la condition de donner un avis approprié au procureur public) dans le but d’exercer son pouvoir et de photocopier tous les documents nécessaires. La CNIL interprète ce pouvoir comme un pouvoir d’application de la loi. Elle considère qu’elle peut imposer des vérifications ou en effectuer à la demande d’une organisation.

Terminologie
La CNIL a procédé à un certain nombre d’inspections (vérifications) qui ont permis de relever des cas de non-conformité ou des faiblesses. Ces inspections mettent l’accent sur des questions ou des problèmes précis au sein de l’organisation et ne nécessitent habituellement pas un examen complet de l’organisation.

Les vérifications, perçues comme des évaluations visant à vérifier la conformité et les pratiques exemplaires, devraient comporter un examen exhaustif de l’ensemble de l’organisation. La CNIL ne réalise pas encore de vérifications de la conformité générale, quoique certaines vérifications aient été des examens complets de fond en comble des organisations ciblées. L’équipe d’inspection/vérification est petite (six employés nommés au total et, souvent, quelques agents d’autres départements, comme les Services juridiques). À l’heure actuelle, la CNIL n’a pas les ressources nécessaires pour faire des vérifications de la conformité générale, car elles sont coûteuses, elles exigent beaucoup de temps et elles emploieraient trop de membres de l’équipe.

Inspections réalisées
Au cours des dernières années, la CNIL a procédé à plusieurs inspections importantes dans les secteurs publics et privés.

Dans le secteur public, elle a fait l’inspection d’une grande ville française et de son conseil municipal qu’on soupçonnait de non-conformité. La décision d’inspecter était motivée par le fait que le conseil municipal avait un nombre anormalement bas de notifications dans le registre des notifications de la CNIL. On a fait parvenir des avis de conformité officiels au conseil municipal après l’inspection. S’il ne se conforme pas, des sanctions lui seront imposées.

Une autre inspection portait sur le programme des dossiers médicaux électroniques en France. On a décidé de se pencher sur ce programme en raison de son importance, tant à l’échelle nationale qu’européenne, et de la nature sensible des renseignements qu’on y trouve. Tous les intervenants ont été inspectés, y compris les sous-traitants.

Les rapports d’enquête criminelle conservés par la police (contenant des détails sur les victimes, les suspects et les témoins) sont aussi inspectés régulièrement. Ce genre de vérifications se produit surtout lorsque la personne visée par les données exerce son droit indirect de consulter les dossiers de la police. Ce droit d’accès peut être exercé seulement par les membres de la CNIL avec l’autorité du magistrat.
Dans le secteur privé, une vérification exhaustive a porté sur les services bancaires en ligne. Là encore, il s’agissait d’un domaine qui représentait des risques particuliers relatifs à la sécurité des données confidentielles à caractère personnel.

La CNIL a aussi réalisé une inspection du mécanisme de billetterie électronique utilisé par le réseau des transports en commun de Paris. Là encore, tous les intervenants ont fait l’objet d’une inspection, y compris les sous-traitants. Cet ensemble d’inspections a permis de faire une vérification du mécanisme entier en ce qui concerne la protection des données.

Justification et processus
Les organisations ou les secteurs à inspecter sont sélectionnés en fonction des plaintes (de particuliers ou des médias) ou des problèmes cernés par la CNIL au cours d’une notification ou avant les processus d’autorisation.

La CNIL ne publie ni son programme d’inspections à l’avance ni les résultats d’une inspection. À l’avenir, elle prévoit publier dans son rapport annuel une liste des organisations qui ont fait l’objet d’une inspection.

Dans la plupart des cas, la CNIL n’avertit pas à l’avance les organisations qui seront inspectées. Elle ne leur donne d’ailleurs aucune directive particulière à ce sujet. En règle générale, on procède aux inspections dans les domaines où la CNIL a déjà offert des directives générales, comme pour les dossiers médicaux.

Les équipes d’inspection regroupent habituellement trois personnes : un conseiller juridique, un spécialiste de la TI et un ancien agent de police. L’organisation participe à part entière au processus d’inspection et doit approuver le dossier d’inspection. L’équipe doit aussi préparer un rapport après l’inspection, sauf si aucun problème n’a été relevé. Une inspection prend d’un à quatre jours, selon la taille de l’organisation, le lieu de l’inspection et les problèmes en cause. La CNIL a une méthode interne non publiée qu’utilisent les équipes lorsqu’elles procèdent aux inspections.

À la suite d’une inspection, des sanctions peuvent être imposées. Dans ce cas, il y a des échanges continus avec l’organisation au sujet du processus. D’ordinaire, les inspections révèlent des problèmes de sécurité ou des procédures internes insuffisantes.

Correspondants à la protection des données
La France a un système officiel de correspondants à la protection des données (CPD). Les organisations peuvent nommer un CPD interne, ce qui les dispense de certaines obligations (en ce qui concerne la notification, par exemple). Le CPD a pour tâche, entre autres, de faire des vérifications internes et contribue du coup à promouvoir la vérification et les pratiques exemplaires au sein de l’organisation.

Aspects internationaux
Le programme des dossiers médicaux électroniques a fait l’objet d’une inspection en France dans le cadre de l’enquête sur le secteur de l’assurance-maladie menée par le Groupe de travail de l’article 29. Certaines plaintes révèlent des problèmes internationaux, mais la CNIL n’a pas réalisé d’autres vérifications transfrontalières.

Avantages et problèmes de la vérification/inspection
L’inspection permet à la CNIL de comprendre le fonctionnement de l’organisation dans les faits, plutôt que sur papier. Elle aide à établir une bonne communication avec l’organisation et à la sensibiliser davantage au rôle de la CNIL et à ses pouvoirs d’application de la loi, ce qui contribue à accroître la conformité. De plus, elle favorise l’amélioration des procédures internes.

Le principal problème vient du manque de ressources. C’est pourquoi la CNIL ne peut procéder à des vérifications de plus grande envergure et met l’accent sur les questions qui touchent les particuliers, comme la protection des renseignements des casiers judiciaires, des données médicales et des informations financières.

Développements à venir
En France, l’utilisation accrue de sanctions est le plus important changement des dernières années. Cette pratique a permis de rehausser le profil de la protection des données. Elle n’est plus perçue uniquement comme un problème juridique, mais comme une question de conformité générale.

Il est possible que la vérification devienne un programme d’attestation officielle qui permettrait aux organisations vérifiées par la CNIL d’obtenir un « sceau d’approbation ». Ce sceau pourrait avoir une valeur commerciale pour les organisations. Néanmoins, sans ressources supplémentaires, la CNIL ne pourra pas élaborer de programme de vérification officiel.

Conclusion
La CNIL ne fait pas de vérifications complètes des procédures de traitement des données des organisations dans le but de promouvoir les pratiques exemplaires. Avec ses ressources limitées, elle met l’accent sur les enquêtes liées à l’application de la loi dans des cas où des risques possibles pour les particuliers ont été identifiés.

2. Royaume‑Uni – Office of the Information Commissioner (ICO) (Bureau du commissaire à l’information)

Réunion du 6 juin 2007
Chris Turner – Chef de la vérification et des recours, ICO
Sian Jones – Gestionnaire de la vérification et des recours, ICO
Stewart Dresner – Administrateur général, Privacy Laws & Business
Valerie Taylor – Conseillère, Privacy Laws & Business

Contexte législatif
La Data Protection Act (loi sur la protection des données) de 1998 donne au commissaire à l’information le pouvoir d’effectuer des vérifications, soit avec le consentement d’une organisation, soit après avoir obtenu un mandat d’un tribunal qui l’autorise à entrer dans les locaux sans ce consentement. L’ICO n’a pas envisagé activement de demander un mandat.

Le Bureau peut facturer des frais de vérification, avec la permission du secrétaire d’État, mais il ne l’a jamais fait.

Terminologie
Le terme vérification désigne une « évaluation » des procédures en vue de déterminer si les pratiques sont adéquates ou non. Une vérification est une évaluation générale qui comprend habituellement un examen complet des procédures de traitement des données d’une organisation ou d’un secteur d’activités particulier. L’équipe de vérification est petite (trois personnes), mais elle se consacre presque entièrement à des activités de vérification. L’ICO prévoit recruter deux autres personnes, probablement à l’interne. Des services distincts s’occupent des plaintes et de l’application de la loi.

Vérifications réalisées
L’an dernier, l’équipe a réalisé huit vérifications et prévoit en réaliser le même nombre cette année, en plus de 12 à 15 vérifications de plus petite envergure concernant des fonctions particulières (par exemple, l’élimination des rebuts confidentiels).

L’ICO a récemment publié les résultats de deux de ses vérifications, l’une concernant un grand organisme public – le Liverpool City Council – et l’autre concernant une importante institution financière – la Halifax Bank of Scotland (HBOS). La vérification du Liverpool City Council a été effectuée en raison de mesures prises contre cet organisme à la suite d’une plainte déposée auprès de l’ICO. La vérification de la HBOS a été amorcée à la suite de comptes rendus journalistiques sur des incidents liés à la sécurité à la Banque. S’ils étaient confirmés, ces incidents briseraient une promesse faite antérieurement à l’ICO.

Justification
Les organisations qui font l’objet d’une vérification peuvent avoir été sélectionnées de différentes manières :

1. Une plainte reçue par la Division de la conformité peut être renvoyée à l’équipe des recours, entraînant ainsi la recommandation d’une vérification. La taille de l’organisation, les préjudices subis par des particuliers, la gravité du problème et le fait que ce problème soit systémique ou non sont les facteurs pris en considération.
2. Une organisation qui fait l’objet d’une mesure d’application ou d’une procédure officielle peut accepter une vérification dans le cadre des sanctions imposées.
3. Les équipes responsables des pratiques et du perfectionnement peuvent suggérer des secteurs d’activités à vérifier, en particulier en ce qui concerne des secteurs ou des types de traitement précis qui alimentent d'importants débats publics ou qui sont touchés par des changements considérables auxquels sont associés des risques, comme le secteur de la santé et les projets d’échange d’information du secteur public.
4. Les organisations peuvent s’adresser directement à l’ICO pour demander une vérification. Cette demande peut résulter d’une annonce publique de la fonction de vérification de l’ICO. L’ICO vérifie ensuite s'il a les ressources nécessaires pour effectuer la vérification demandée, et détermine l’avantage potentiel que l’organisation en question peut en tirer et la façon dont cette vérification pourrait l’aider à enrichir sa base de connaissances.

Les organismes du secteur public sont beaucoup plus ouverts aux vérifications que ceux du secteur privé, mais, même si l’ICO a effectué beaucoup plus de vérifications dans le secteur public que dans le secteur privé, la situation est en train de changer.

Il arrive que le programme même d’une organisation détermine la portée d’une vérification. Par exemple, si la personne-ressource chargée de la protection des données croit que l’organisation a besoin d’un haut degré d’engagement à l’égard de la protection des données, la vérification peut être considérée comme une façon de catalyser des changements.

Processus
Bien que l’ICO puisse demander un mandat pour procéder à une vérification, il ne l’a jamais fait. Toutes ses vérifications ont été effectuées avec le consentement des organisations. Les pouvoirs conférés par un mandat sont habituellement réservés à des cas graves de non‑conformité et à des enquêtes criminelles. L’information recueillie pendant une vérification est fournie volontairement par l’organisation. Ici aussi, l’ICO peut utiliser ses pouvoirs de contrainte pour exiger la communication de documents, mais il ne l’a jamais fait dans le cadre d’une vérification et préfère procéder avec le consentement de l’organisation.

L’ICO a publié une méthode de vérification et l’a affichée sur son site Web. Cette méthode a été adaptée et révisée à l’interne, en particulier pour des vérifications plus restreintes de fonctions précises. L’ICO a également dressé ses propres listes de contrôle et questionnaires concernant des champs d’activité particuliers, comme la technologie de l’information (TI), et actualisera sa méthode lorsque le temps le lui permettra.

L’ICO demande normalement de l’information à l’organisation qui fait l’objet d’une vérification. Il existe des pouvoirs qui permettent d’exiger la communication de documents et de matériel, mais il est peu probable qu’ils soient utilisés dans le cadre d’une vérification avec consentement.

Les équipes de vérification sont composées de deux ou trois personnes spécialisées dans la protection des données. Il peut arriver qu’une de ces personnes ait de l’expérience en TI, mais l’ICO envisage de faire appel à des spécialistes lorsque, par exemple, des connaissances techniques plus pointues sont requises. La vérification « sur place » des aspects liés à la conformité prend habituellement trois jours. Généralement, les vérifications révèlent des problèmes concernant l’accès des personnes à leurs renseignements personnels, la conservation des données ou la gestion interne.

Les rapports sont remis à l’organisation, mais ne sont pas publiés. La politique actuelle est de ne pas publier les détails d’une vérification dans la majorité des cas. Comme les vérifications sont effectuées avec le consentement de l’organisation, elles sont traitées comme de l’information confidentielle. L’ICO considère aussi que, dans le cas des vérifications consensuelles, la publication des résultats pourrait constituer un facteur de dissuasion.

Il n’y a aucune garantie que l’ICO n’imposera pas de sanction à la suite d’une vérification qui a révélé de graves problèmes. Cependant, comme les vérifications sont effectuées avec le consentement des organisations, il serait très étonnant que l’organisation en question refuse de résoudre un problème révélé par une vérification. Le fait qu’une organisation accepte de faire l’objet d’une vérification indique sa volonté de résoudre les problèmes et d’établir une bonne pratique. De plus, l’ICO verrait d'un œil favorable une organisation disposée à faire preuve de transparence à l'égard de ses activités de traitement des données – et tout problème connexe – qui a demandé une vérification.

Aspects internationaux
Le Groupe de protection des données de l’article 29 a enquêté sur le secteur de l’assurance‑maladie. Un questionnaire a été envoyé aux organisations de ce secteur — la seule manière systématique de recueillir de l’information dans divers pays. Le secteur de l’assurance-maladie a été sélectionné en raison de la nature sensible de l’information qui y est traitée et des risques perçus relativement à cette information. Certaines sociétés d’assurance‑maladie œuvrent un peu partout en Europe et cette question touche tous les pays européens.

Il est possible de coopérer avec d’autres organismes chargés de la protection des données pour régler des questions transfrontalières. Ces efforts de coopération peuvent donner de bons résultats si seulement deux ou trois pays y participent, plutôt que tous les pays de l’Union européenne (UE) par exemple.

Avantages et problèmes de la vérification
Les vérifications donnent à l’ICO la possibilité d’observer, dans la pratique, les organisations et leur mode de traitement des données à caractère personnel. Elles éclairent le personnel de l’ICO sur les difficultés pratiques que soulève la conformité au quotidien. Elles lui donnent aussi des indications utiles susceptibles d’enrichir ses directives en matière de pratiques exemplaires.

Les vérifications aident également à améliorer les relations et encouragent les organisations à rester en contact avec l’ICO pour régler des questions ou des problèmes éventuels. Lorsque les vérifications donnent lieu à un dialogue, elles encouragent la conformité et les pratiques exemplaires, et favorisent la protection des données à l’intérieur des organisations.

Actuellement, l’ICO n’a pas les ressources requises pour effectuer un suivi après avoir formulé des recommandations au terme d’une vérification, bien que, dans certains cas, ce serait l’idéal. Le contrôle des plaintes peut servir de mécanisme d’évaluation pour déterminer si les recommandations ont été mises en œuvre ou non.

Développements futurs
L’ICO espère élargir son équipe de vérification. Il continuera de promouvoir la vérification comme outil pour accroître la sensibilisation à la protection des données et pour encourager la conformité et les pratiques exemplaires.

Il y a deux ans, il a évalué la demande d’un cadre d’attestation des vérifications. Même si les sociétés de vérification ont exprimé un certain appui, les contrôleurs de données se sont montrés peu intéressés.

Conclusion
L’ICO, qui dirige des vérifications depuis plusieurs années, a élaboré et publié une méthode. En faisant la promotion de la fonction de vérification, il contribue à la sensibilisation à ses avantages et encourage les organisations à lui demander d’effectuer des vérifications. Les vérifications sont aussi utilisées pour régler des questions dans le cadre de mécanismes d’application.

3. Espagne – Agencia española de protección de datos (Agence espagnole de protection des données)

Réunion du 7 juin 2007
M. Artemi Rallo Lombarte – Directeur de l’Agence
Mme Mercedes Ortuño Sierra – Chef du Département des affaires internationales
Stewart Dresner – Administrateur général, Privacy Laws & Business

En Espagne, le secteur privé relève de l’Agence espagnole de protection des données. Même s’il existe trois autres organismes responsables de la protection des données (à Madrid, en Catalogne et dans le Pays basque) ceux-ci n’exercent leur compétence que dans le secteur public de ces collectivités, dont ne traite pas la présente étude.

Contexte législatif
En Espagne, les vérifications sur la protection des données sont encadrées par l’article 40 de la loi sur la protection des données (Loi organique 15/1999 du 13 décembre 1999 sur la protection des données à caractère personnel, connue sous l’acronyme de LOPD). Cette loi assure un cadre général de protection des données et l’application de la Directive de l’Union européenne 95/46/CE par la loi espagnole.

L’article 40 s’intitule « Pouvoirs d’inspection » et traite des pouvoirs de l’Agence suivants :

1. vérifier les fichiers de données à caractère personnel et obtenir toute information que cette vérification requiert;
2. exiger la communication ou la transmission de documents et de données et les examiner;
3. vérifier le matériel informatique et les logiciels utilisés pour traiter les données à caractère personnel;
4. obtenir l’accès aux locaux d’une organisation où des données à caractère personnel sont traitées;
5. ordonner la cessation de tout traitement de données inadéquat ou illicite et l’élimination des fichiers invalides ou interdits (article 37f, à titre de mesure préventive);
6. bloquer les fichiers dans les cas de très graves atteintes à la vie privée (article 49).

Les inspecteurs sont obligés de garder secrète toute information recueillie pendant et après l’accomplissement de leurs tâches.

La loi secondaire sera mise à jour d’ici la fin de 2007, de façon à contenir une description plus détaillée des règlements sur les procédures d’inspection. Cette mise à jour est requise parce que la disposition secondaire actuelle, l’article 18 du Décret royal 1332/1994, doit s’harmoniser avec l’ancienne loi de 1992.

Terminologie
Il y a deux types d’inspection ou de vérification :

1. Les inspections sont amorcées à la suite d’une plainte qui concerne une atteinte à la vie privée ou d’une information dont l’Agence a pris connaissance, par exemple dans les médias, selon laquelle il y a atteinte à la vie privée. Dans ces cas, en plus des pouvoirs mentionnés à l’article 40, le directeur de l’Agence a le pouvoir judiciaire d’émettre une assignation à témoigner. Il peut aussi ordonner l’interruption du traitement de données à caractère personnel si celui-ci n’est pas conforme à la loi.
   La contrainte la plus sérieuse est que le directeur de l’Agence enquête sur toutes les demandes et les plaintes relatives au respect de la vie privée, sans égard à leur importance relativement aux ressources requises pour effectuer une enquête. Cela s’explique par le fait qu’en vertu de la loi, l’Agence doit évaluer chaque plainte en tenant compte de sa mission, qui est « de servir chaque citoyen ». Cependant, en pratique, cela signifie que la loi empêche le directeur d’agir en gestionnaire efficace. Il ne peut pas établir les priorités, ni allouer ses ressources en fonction de son appréciation de l’importance d’une plainte.
2. Les vérifications préventives sont celles qui comportent des examens d’un secteur en particulier pour évaluer la mesure dans laquelle des organisations du secteur concerné respectent leurs obligations juridiques. Ces vérifications ont des visées éducatives, non punitives, étant donné qu’elles aboutissent habituellement à la formulation de recommandations de pratiques exemplaires. Le rapport annuel de 2005 décrit ce type de vérifications comme des procédures [Traduction] « aux fins du respect de tous les principes et droits énoncés dans la LOPD, relatifs à la protection des données à caractère personnel dans un secteur d’activité présélectionné. Elles ne visent pas à dénoncer des cas de non-conformité à la loi, mais plutôt à établir un diagnostic de la situation en ce qui a trait au respect des obligations juridiques, pour déceler les lacunes et formuler des recommandations pour y remédier ».

Vérifications sectorielles
Les secteurs qui ont fait l’objet de vérifications ces dernières années sont :

2006 : Écoles publiques et privées
2005 : Recrutement de personnel par Internet
2004 : Laboratoires d’hôpitaux et entreprises qui leur offrent des services
Institut national d’administration publique
Chaînes d’hôtels
2003 : Institut national de la statistique
Recensements de la population et des ménages
2002 : Concours, jeux et loteries télévisées
Banque à domicile (traitement en ligne des opérations bancaires)
Fichier commun sur l’insolvabilité d’un actif
2001 : Institut national de la statistique
Fichiers passés sur l’assurance-automobile
Grands magasins
2000 : Commerce électronique
Hôpitaux
Registre national sur le SIDA
Direction générale de trafic
1998 : Salles de bingo
1997 : Hôpitaux publics

Le lien suivant mène aux recommandations de l’Agence : https://www.agpd.es/index.php?idSeccion=75

Préparation d’une vérification et pouvoirs des inspecteurs
Les pouvoirs des inspecteurs découlent du pouvoir conféré au directeur de l’Agence, en tant que représentant du gouvernement. Avec sa signature sur le document approprié (car son évaluation de l’inspection fait partie des pouvoirs précisés dans la loi et le Décret royal mentionnés ci-dessus), les inspecteurs de l’Agence peuvent, « en vertu de l’autorité de l’État », entrer dans les locaux d’une organisation et effectuer leur enquête et leur vérification.

Le directeur adjoint de l’Agence est le chef des inspections et il forme une équipe appropriée pour le secteur qui fait l’objet d’une vérification. Les membres de l’équipe se préparent en convenant des éléments suivants :

• la portée de la vérification;
• la manière de répartir les tâches entre eux;
• les types d’échantillons (systèmes et documents) qu’ils examineront.

En vertu du mandat de l’Agence, l’équipe d’inspection est autorisée à demander des documents au contrôleur de données et même à des tiers. Par exemple, si une entreprise Internet venait à disparaître, les inspecteurs pourraient avoir accès aux courriels et aux carnets Web des tiers. L’entrave à l’exercice de leurs fonctions constitue une infraction distincte et peut mener à une amende plus élevée. La Cour du pays considère que ce type d’infraction est grave — l’infraction à une disposition de la loi sur la protection des données peut entraîner une amende allant jusqu’à 601 000 euros.

L’Agence n’impose jamais de frais aux organisations pour la conduite d’une vérification.

Plusieurs fois par année, une organisation peut demander une vérification, habituellement à la suite de discussions informelles pendant lesquelles l’Agence et l’organisation conviennent qu’une vérification pourrait aider à clarifier la situation. Normalement, de telles vérifications n’entraînent pas d’amende.

Justification
Un secteur peut faire l’objet d’une vérification pour les raisons suivantes :

• des plaintes de particuliers (93 p. 100 des cas mentionnés dans le rapport annuel de 2005);
• autres (7 p. 100 des cas mentionnés dans le rapport annuel de 2005) : des problèmes relevés par les médias ou, dans le cas des écoles, en raison d’une initiative du Congrès prise lors de la présentation du rapport annuel par le directeur de l’Agence.

Les secteurs qui ont reçu le plus régulièrement des visites d’inspection en 2005, conformément au rapport annuel de l’année, sont les suivants :

• les télécommunications (24 p. 100 des inspections et 29 p. 100 des procédures juridiques qui pouvaient entraîner des sanctions);
• les services financiers (19 p. 100 des inspections);
• les organismes publics (11 p. 100 des inspections).

Occasionnellement, les organisations des secteurs public et privé demandent une vérification, même si elles ne font pas l’objet d’une enquête de l’Agence. Elles sont parfois confrontées à une nouvelle technologie ou utilisation des données à caractère personnel, et ils demandent des conseils à l’Agence. Par exemple, Telefonica (la principale société de télécommunications) a demandé la vérification de sa nouvelle carte d’identité numérique, qui suscite des inquiétudes relativement à la protection de la vie privée. L’École nationale d’administration (ENA), l’institut du secteur public qui forme les fonctionnaires, a également demandé une vérification.

Publication des résultats de vérification
Les résultats des vérifications sectorielles et les recommandations qui en découlent sont publiés pour aider à améliorer les normes dans l’ensemble du secteur.

Si une vérification entraîne une amende, le nom de l’organisation en question est publié. Par exemple, il y a eu un cas sérieux de brèche dans la sécurité des données associée à un service bancaire en direct.
L’Agence publie sur son site Web (www.agpd.es) les noms des organisations qui font l'objet d'une vérification, ainsi que le texte intégral des résolutions de l’Agence. Lorsqu’une organisation reçoit une sanction, l’information

est dépersonnalisée; elle ne contient pas les noms des personnes physiques, mais seulement ceux des personnes morales (comme les sociétés). Le rapport annuel présente les cas les plus importants en termes généraux et renvoie les lecteurs au site Web. L’Agence indique le numéro d’identification de la procédure de sanction, de sorte que les lecteurs peuvent le retrouver sur le site Web de l’Agence, mais non les noms des organisations, même si les secteurs sont indiqués au besoin. Cette politique résulte d’une directive donnée par l’Agence en 2004 selon laquelle une décision communiquée aux parties concernées doit être rendue publique le mois suivant.

Résultats des enquêtes/vérifications
En 2006, 1 282 enquêtes liées à la mise en application ont débuté, dont :

• 281 ont entraîné des procédures judiciaires menant à des sanctions pénales;
• 103 ont mené à un avertissement public à des organismes administratifs publics (car la politique est de ne pas imposer d’amende à un organisme public, étant donné qu’en définitive, cela fait monter l’impôt des contribuables);
• 632 cas traitaient du refus de l’accès d’une personne à des dossiers qui la concernaient.

Vérifications internationales relatives à la protection de données
L’Espagne a une certaine expérience de coopération avec d’autres organismes nationaux responsables de la protection de données, en particulier des enquêtes et des poursuites concernant le marketing par courriels non sollicité, ou les pourriels. Par exemple, l’Agence a coopéré avec l’autorité de protection de données des Pays-Bas pour enquêter sur un site Web, hébergé par une entreprise hollandaise, qui affichait des données à caractère personnel recueillies illégalement. Cette collaboration a entraîné le retrait du contenu illégal du site Web.

L’an dernier, le Groupe de travail de protection des données de l’article 29 de l’Union européenne a entrepris une vérification de plus grande envergure. Le Département des affaires internationales de l’Agence a dirigé la plus grande partie du projet de vérification du secteur de l’assurance-maladie dans les 27 États membres de l’UE.

Ce secteur a été choisi parce que les difficultés posées par la comparaison entre les divers États membres semblaient raisonnables et qu’il traitait des données de nature sensible concernant des millions de personnes. La vérification a été effectuée en collaboration avec les associations d’assurance-maladie nationales de chaque pays et la confédération européenne des sociétés d’assurance-maladie. La recherche a porté sur de nombreuses questions, y compris celles liées à l’emploi – comme la mesure dans laquelle les données médicales sont transmises aux employeurs lorsque l’assurance-maladie constitue un avantage social. Par exemple, à qui les sociétés d’assurance-maladie communiquent-elles les données à caractère personnel dans différentes circonstances?

La vérification a été effectuée à l’aide d’un questionnaire écrit. La rédaction du questionnaire et sa révision ont pris beaucoup de temps. Le processus a été plus difficile en raison de différences entre les pays; par exemple :

1. la mesure dans laquelle une langue commune était comprise;
2. les concepts juridiques relatifs à la protection des données;
3. l’existence ou le manque de pouvoirs de vérification;
4. la méthode de vérification appropriée;
5. les règles nationales sur la confidentialité médicale;
6. les règles nationales concernant les liens entre la loi sur la protection des données et celle de l’accès à l’information;
7. les règles nationales sur l’utilisation de l’information génétique, comme facteur d’évaluation des risques d’assurance qui entraîne la discrimination de personnes ayant des prédispositions à certaines maladies;
8. les relations entre les autorités publiques et les entreprises privées;
9. l’enthousiasme à l’égard de la tâche.

À ces difficultés s’ajoutait le manque d’expérience de certains organismes responsables de la protection des données dans la rédaction et la conduite de vérifications, ainsi que dans la gestion d’un projet international de cette envergure.

Les autorités nationales coopèrent plus facilement lorsqu’elles engagent des mesures d’application, parce que celles-ci ne mettent habituellement en jeu que quelques pays à la fois.

L’Espagne est maintenant en train de collaborer à un projet de vérification distinct de l’OCDE, qui comprend des pays non européens comme le Canada et le Japon.

L’Agence a aussi commencé à effectuer des vérifications en Amérique latine pour vérifier les procédures de protection des données en place dans les pays où le traitement de données, transférées de l’Espagne, ne respecte pas les conditions de « conformité » énoncées dans la directive de l’UE sur la protection des données.

L’Agence a conclu :

• que la coopération internationale pour des vérifications, et bien d’autres activités, était plus facile lorsque les autorités concernées disposaient des mêmes outils et capacités de mise en application;
• que la pénurie de ressources humaines et financières fait en sorte que les vérifications les plus efficaces sont celles qui traitent de questions prioritaires pour tous les partenaires nationaux.

Méthode de vérification
L’équipe d’inspection de l’Agence doit suivre les directives du Décret royal (voir ci-dessus) dont le texte est accessible à tous. Elle doit respecter ces procédures, car l’enquête peut se solder par une lourde amende, ce qui peut inciter la société visée à se tourner vers un tribunal si la procédure n’a pas été suivie scrupuleusement.

L’équipe d’inspection ou de vérification est composée de deux inspecteurs, ce qui suppose que les observations de l’un sont toujours comparées à celles de l’autre. Il n’y a aucune différence entre les méthodes de vérifications relatives à la protection de la vie privée et celles relatives à la sécurité des données, dans la mesure où les inspecteurs effectuent les deux vérifications en une seule visite. Ils arrivent sur les lieux munis d’un ordinateur portable et rédigent un résumé de la vérification qu’ils présentent au directeur de la société à la fin de leur visite. Les inspecteurs fournissent au (à la) gestionnaire de l’organisation une liste des points pratiques qui réclament une attention particulière, qu’une sanction pénale soit prévue ou non. Il ou elle doit signer le document afin de confirmer qu’il ou elle l’a bien reçu.

L’approche est plus souple lorsqu'aucune plainte n'a été déposée contre la société, car la sanction pénale est alors moins probable.

Aucune modification de la méthode de vérification n’est envisagée actuellement, mais l’Agence espère que les nouveaux règlements donneront une plus grande marge de manœuvre au directeur et à ses inspecteurs pour décider de vérifier ou non une organisation. Une équipe d’inspection est composée de spécialistes en TI qui connaissent les lois relatives à la protection des données. Pendant la vérification, les inspecteurs chargent l’un des employés de l’organisation d’interroger et de consulter les ordinateurs et tous les systèmes informatiques. Cette mesure permet d’éviter que la société accuse un inspecteur d’avoir endommagé son matériel.

De retour à l’Agence, les membres de l’équipe montrent leur rapport factuel à un conseiller juridique, qui l’analyse d’un point de vue juridique et recommande une sanction au directeur. S’il n’existe aucune preuve d’infraction, le conseiller juridique consigne cette conclusion dans les archives de l’Agence. Les conseillers juridiques n’effectuent pas de visites d’inspection ou de vérification. L’Agence n’emploie que ses inspecteurs; elle ne fait appel à aucun inspecteur à l’externe. L’équipe de vérification et d’inspection comprend 19 inspecteurs ayant des compétences en TI, 14 experts juridiques et 17 employés auxiliaires.

La société qui fait l’objet d’une vérification délègue un employé-cadre pour accompagner les inspecteurs ou les vérificateurs et vérifier la bonne marche de l’inspection ou de la vérification. Cette présence garantit que la société comprendra la manière dont les preuves auront été recueillies et les raisons qui auront mené aux observations et aux mesures prises par la suite. Une vérification prend en général un ou deux jours, mais il s’écoule souvent environ six mois (durée maximum autorisée par la LOPD) entre la réception de la plainte et l’achèvement d’un rapport et la décision de sanction qui en découle formulée par le directeur.

Rapports et résolutions
Le rapport factuel est communiqué à l’organisation vérifiée, qui peut alors soit proposer des modifications, soit présenter une version différente pour exposer son point de vue. La réponse de l’organisation est examinée par les conseillers juridiques au moment où ils préparent la résolution de l’Agence. Une fois que le directeur a signé la résolution finale, celle-ci est publiée sur le site Web de l’Agence. Elle peut être contestée devant un tribunal. Les conclusions les plus courantes sont les suivantes :

• une protection insuffisante des données permettant à un pirate d’infiltrer facilement le système;
• une mauvaise utilisation des données par les employés;
• l’absence ou l’insuffisance de registres, donc peu de pistes de vérification.

À la suite de sa vérification nationale de la protection des données dans les écoles, l’Agence a publié une liste de secteurs qui suscitent des préoccupations. Ceux-ci comprennent :

1. des faiblesses dans l’information et le consentement concernant le traitement des données;
2. une piètre qualité des données à toutes les étapes de traitement;
3. un manque de dispositifs adéquats pour respecter les droits liés à la protection des données à caractère personnel, comme l’accès à l’information, la possibilité d'y apporter des correction ou de l'éliminer, et de contester le traitement des données;
4. un niveau de sécurité trop faible surtout en ce qui concerne les données de nature sensible.

Néanmoins, cette vérification nationale des écoles a conduit à la formulation et à la diffusion à plus de 14 000 écoles de conseils sur l’utilisation des données à caractère personnel.

Le site Web de l’Agence donne des conseils sur la protection des données à l'intention des contrôleurs des données, ainsi que des conseils spécifiques à chaque secteur découlant de vérifications sectorielles.

Avantages des vérifications
L’Agence estime que les inspections et les vérifications sont précieuses, car elles constituent « un moyen de garantir la conformité à la loi sans entraîner d’amende ». Les recommandations ainsi formulées contribuent à sensibiliser tous les secteurs sur les avantages des pratiques exemplaires de protection des données dans la gestion de données à caractère personnel, pour les organisations et les particuliers, et pour répondre aux attentes de la société, telles qu’elles sont exprimées dans la loi.

Les vérifications de l’Agence peuvent conduire à une discussion sur les mesures de gestion pratiques que les sociétés doivent prendre pour se conformer à la loi et éviter ainsi de lourdes amendes. Il serait donc logique que les sociétés acceptent de bon gré les vérifications de l’Agence. Une vérification par un organisme responsable de la protection des données ne sera jamais la bienvenue, mais elle peut être considérée comme acceptable au même titre que les inspections dans d’autres domaines – inspections pour la lutte contre les incendies dans les usines ou inspections de l’hygiène alimentaire dans les restaurants. Cette approche permet d’améliorer les relations avec les entreprises, au fur et à mesure que la vérification définit les mesures qu’elles peuvent prendre pour adopter des pratiques de gestion conformes à la loi sur la protection des données.

Prochaines étapes
L’objectif le plus important de l’Agence est de pouvoir définir ses priorités et choisir ses méthodes de vérification, plutôt que d’être contrainte par la loi à enquêter sur chaque plainte – aussi négligeable soit-elle. Certaines plaintes pourraient être traitées par courrier alors que d’autres requièrent évidemment la visite d’une équipe de vérification.

À l’avenir, les plus petites sociétés pourraient confier leur gestion de la protection des données à des experts, qui pourraient proposer les services de spécialistes qu’elles ne peuvent s’offrir à l’interne. En effet, ces experts seraient bien mieux placés que les propriétaires de petites entreprises pour prendre des engagements face aux inspecteurs de l’Agence.

Le nouveau directeur de l’Agence souhaite se concentrer sur les organisations dont les activités de traitement de données personnelles a une incidence marquée sur de larges pans de la population; par exemple une organisation qui gère une banque de données biologiques ou une banque d’ADN. L’Agence a pu convaincre une société responsable d’une banque de données de 8 millions de donneurs de sang que la recherche était possible avec des données anonymes.

Le nouveau directeur aspire à des relations axées sur un dialogue plutôt que sur la confrontation et ne réserve cette dernière approche qu’aux cas où des procédures judiciaires fermes sont requises en raison des faits et non de la loi. Les vérifications ont leur place dans un contexte plus large où [Traduction] « l’avenir de la protection de la vie privée et des données dépend de la capacité des organismes de supervision d’assurer une protection efficace contre la non-conformité ».

Bibliographie

Cette analyse a été réalisée à partir des documents suivants :

1. Étude sur la vérification, commissaire à la protection de la vie privée du Canada, décembre 2006
2. OCDE – Groupe de travail sur la sécurité de l’information et la vie privée. Rapport sur l’application transfrontière de la législation relative à la vie privée, octobre 2006
3. Commission européenne. Communication de la Commission au Parlement européen et au Conseil – Suivi du Programme de travail pour une meilleure mise en application de la directive sur la protection des données, mars 2007
4. Groupe de travail « Article 29 » sur la protection des données. Déclaration du Groupe de travail Article 29 concernant la mise en application. [25 novembre 2004]
5. Organisation de coopération et de développement économiques. Groupe de travail sur la sécurité de l’information et la vie privée. Rapport sur l’application transfrontière de la législation relative à la vie privée. [16 octobre 2006]
6. Commission européenne. Communication de la Commission au Parlement européen et au Conseil. Suivi du Programme de travail pour une meilleure mise en application de la directive sur la protection des données. [7 mars 2007]
7. Groupe de travail « Article 29 » sur la protection des données. Document de travail (WP108) établissant une liste de contrôle type pour les demandes d’approbation des règles d’entreprise contraignantes.
8. Entrevue avec des représentants de la CNIL en France, juin 2007
9. Entrevue avec des représentants du UK Information Commissioner’s Office (Bureau du commissaire à l’information du Royaume-Uni), juin 2007
10. Entrevue avec des représentants de l’Agence espagnole de protection des données, juin 2007

On trouvera des informations supplémentaires à partir des sources suivantes :

Royaume-Uni
[http://www.ico.gov.uk/upload/documents/library/
data_protection/practical_application/
data_protection_complete_audit_guide.pdf]

Pays-Bas
[http://www.dutchdpa.nl/downloads_audit/PrivacyAuditFramework.pdf]

Comité européen de normalisation (CEN)
[http://www.cen.eu/cenorm/businessdomains/
businessdomains/isss/cwa/dppcwa.asp]