La Commission de protection des données personnelles (CDP) se dit préoccupée par la pratique de l’externalisation, soulignant que le responsable de traitement ‘’n’a plus le total contrôle de son système d’information’’.

‘’Sur le plan technique, la pratique de l’externalisation reste une préoccupation pour la Commission. Cette situation constitue un défi supplémentaire pour la protection des données en ce sens que le responsable de traitement n’a plus le total contrôle de son système d’information’’, indique la CDP, dans un avis trimestriel du 1er avril au 30 juin 2015.

Dans ce document dont l’APS a obtenu copie, la CDP fait état de ‘’manquements’’ au plan technique ‘’concernant le traitement des données sensibles comme les données de santé et la biométrie’’.

Elle estime que les responsables de traitement ‘’devraient mettre une authentification forte au lieu de recourir simplement à un login et un mot de passe’’.

La CDP a également relevé ‘’dans certaines structures, l’absence de politique formalisée d’accès aux données et de mécanismes de sensibilisation des usagers sur les mesures de sécurité mises en place’’.

Elle considère qu’il ‘’est important que de telles dispositions soient prises par le responsable de traitement conformément à (…) la loi (…) portant sur les données à caractère personnel et la délibération’’.

Du point de vue juridique, la CDP fait état de ‘’l’installation dans un lieu de travail d’un nombre disproportionné de caméras de surveillance, le non-respect des conditions de la prospection directe notamment, les droits des personnes concernées (consentement, opposition, etc.)’’.

Elle signale aussi ‘’le non accomplissement des formalités déclaratives devant la CDP préalables au traitement des données ; la durée illimitée de conservation des données traitées ; l’absence d’engagement de confidentialité entre le responsable de traitement et son sous-traitant’’.

Face à ces manquements, la CDP recommande aux responsables de traitement de ‘’préciser le lieu exact (ville ou pays) de stockage du serveur contenant les données selon qu’il appartient à la structure ou à l’hébergeur (serveur mutualisé, serveur dédié)’’.

Parmi ces recommandations figurent aussi la signature obligatoire ‘’d’un engagement de confidentialité en cas d’intervention d’un tiers dans le système mis en place afin d’augmenter le niveau de sécurité des données’’.

A cela s’ajoute l’utilisation ‘’d’un langage codé et accessible uniquement au corps médical pour les dossiers de santé et mettre en place une authentification forte dans le cadre de la collecte de données de santé’’.

La CDP recommande également d’informer ‘’les personnes concernées de la présence de caméras de vidéosurveillance (…)’’ et invite à ‘’positionner les caméras uniquement sur les parties communes et s’assurer que les parties privées ne soient pas filmées’’.

Elle appelle aussi à ‘’désinscrire gratuitement et systématiquement, dans le cadre de la prospection commerciale, les personnes qui en font la demande avec effet immédiat’’ et à ‘’veiller à assurer une protection des données transférées dans des serveurs à l’étranger en mettant en place des mécanismes de sauvegarde et de réplication/duplication’’.

L’avis recommande de ‘’recueillir le consentement, libre et éclairé des personnes qui font l’objet de prospection, tout comme le consentement des personnes concernées avant toute publication ou communication à des tiers de leurs données personnelles’’.

La CDP conseille aussi de ne pas publier dans la presse ’’des décisions individuelles mettant en cause les employés/salariés sans leur consentement’’.

(Source : APS, 13 juillet 2015)