Nouveau logiciel ou nouvel outil : penser la protection des données avant de choisir

Un webinaire organisé par le cabinet Accens Avocats présente la « protection des données dès la conception » (en anglais privacy by design). Le principe est inscrit à l’article 25 du RGPD : le responsable du traitement met en œuvre, dès le choix des moyens du traitement, des mesures techniques et organisationnelles appropriées, et garantit que, par défaut, seules les données nécessaires à chaque finalité sont traitées, qu’il s’agisse de leur quantité, de l’étendue de leur traitement, de leur durée de conservation ou de leur accessibilité.

Selon les intervenants, ce principe se traduit très concrètement au moment de choisir un logiciel de suivi : fixer d’abord à quoi il servira, puis exiger dans le cahier des charges des profils d’accès selon les fonctions, un accès par mot de passe, des sauvegardes automatiques, la traçabilité des ajouts et des modifications, et la possibilité de paramétrer l’archivage et la suppression des données. Ils recommandent d’associer à la réflexion les professionnels qui utiliseront l’outil. La CNIL, dans sa fiche « Zones bloc note et commentaires : les bons réflexes pour ne pas déraper », recommande de son côté de privilégier des menus déroulants aux zones de texte libre et, pour la santé, des termes objectifs comme « hospitalisation » plutôt que le diagnostic.

Une obligation s’ajoute avant la mise en service. L’article 35 du RGPD impose une analyse d’impact relative à la protection des données (AIPD) lorsqu’un traitement est susceptible d’engendrer un risque élevé, et la CNIL a inscrit les « traitements ayant pour finalité l’accompagnement social ou médico-social des personnes » sur sa liste des traitements pour lesquels une AIPD est requise. Son référentiel relatif à la protection de l’enfance en tire la conséquence : ces traitements doivent systématiquement donner lieu à une AIPD préalable.

Pour un lieu de vie et d’accueil, le moment opportun est celui où l’on change d’outil : logiciel de suivi, espace de stockage partagé, messagerie. Mieux vaut poser ces exigences avant de signer avec un éditeur que tenter de corriger ensuite. Pour l’analyse d’impact, le référentiel invite à s’appuyer sur ses propres principes et sur les outils méthodologiques mis en ligne par la CNIL.