Le développeur doit toujours s’assurer que l’appareil/le système intègre unepolitique de confidentialité adéquate, conformément aux articles 12 et 13 du RGPD et aux exigences introduites par le règlement ePrivacy et le cadre juridique national. Celle-ci doit décrire comment l’outil collecte, utilise, conserve et divulgue les données personnelles. En outre, le dispositif doit inclure des informations sur les droits des personnes concernées de manière accessible^[1] .

Les informations incluses doivent être expliquées dans un langage compréhensible, qui peut être compris par des personnes qui ne connaissent pratiquement rien aux systèmes TIC. Cet avis doit inclure, au minimum, tous les sujets énumérés aux art. 13-14 du RGPD, à savoir : des informations relatives (1) à la finalité du traitement, (2) aux données personnelles collectées, (3) à la manière dont les données collectées sont utilisées, (4) aux personnes avec lesquelles les données de localisation personnelles sont partagées, (5) à la manière dont les personnes concernées peuvent retirer leur consentement et accéder à leurs données de localisation personnelles ou les rectifier, (6) des informations sur les droits liés à la prise de décision automatisée, (7) les coordonnées du DPD correspondant, au cas où il devrait être contacté, (8) des informations sur les périodes de conservation, etc.^[2] En outre, il est important de tenir les personnes concernées informées de toute modification du traitement de leurs données personnelles, qui doit être reflétée dans la politique de confidentialité. En outre, le système doit être conçu de manière à ce que la personne concernée soit informée des changements (par des messages, des icônes, des alertes, etc.).

Outre les exigences d’information obligatoires mentionnées, les responsables du traitement sont encouragés à suivre les bonnes pratiques suivantes concernant la fourniture d’informations transparentes dans les projets qui impliquent le traitement de données de localisation ou de proximité. Ces pratiques ne sont pas obligatoires, bien sûr, mais elles sont fortement recommandées :^[3]

• Quelles sont les utilisations concrètes qui seront faites des données recueillies ?
• Indiquez la fréquence et le détail de la collecte des données géospatiales ;
• Indiquez la nature et le type de données collectées ;
• Le cas échéant, rappelez aux personnes concernées qu’elles peuvent oublier qu’elles sont suivies et que le dispositif peut enregistrer leurs visites dans des lieux privés ou leur proximité avec des personnes concrètes (ce n’est pas obligatoire, mais cela peut être considéré comme une bonne pratique) ;
• Le cas échéant, rappelez aux participants que des preuves suggérant des activités illégales peuvent être mises au jour par les données géospatiales. Si c’est le cas, la divulgation peut ne pas être protégée par la politique de confidentialité de l’institution de recherche et pourrait être potentiellement découverte par les forces de l’ordre (voir l’article 10 du RGPD) ;
• Prévoir un moyen facile de rappeler aux personnes concernées qu’elles font l’objet d’un suivi. Par exemple, en activant une icône lorsque des données de localisation ou de proximité sont collectées et en désactivant cette icône lorsque les données ne sont pas collectées ;
• Fournir une déclaration expliquant que les personnes ne seront pas identifiées dans une publication ou une présentation de la recherche sans le consentement explicite du participant (à moins qu’une autre base juridique pour le traitement soit applicable) ;
• Fournir une déclaration expliquant que les données identifiables ne seront pas partagées avec des tiers sans le consentement du sujet, mais que les données dépersonnalisées peuvent être partagées ;
• Le cas échéant, rappelez et montrez aux personnes concernées comment elles peuvent désactiver ou interrompre temporairement la localisation ou la collecte de données de proximité quand elles le souhaitent ;
• Dresser une liste des destinataires qui auront accès aux données ;
• Évaluer le risque que les participants soient ré-identifiés à partir des données fournies ;
• Évaluer le risque de préjudice éventuel si les données étaient réidentifiées par inadvertance, y compris, le cas échéant, la perte financière, le préjudice psychologique et/ou le préjudice physique ;
• Informer les personnes concernées de leurs droits et de la manière de les faire valoir ;
• Fournir aux personnes concernées les coordonnées du DPD correspondant.

Il est recommandé d’opter pour des options de conception juridique qui peuvent rendre les politiques de confidentialité plus visuelles et plus faciles à comprendre. Par exemple, vous pouvez opter pour l’iconographie afin de respecter le devoir d’information du responsable du traitement des données, les vidéos, le storytelling, ou même un formatage simple comme l’utilisation de graphiques. Il est nécessaire de proposer aux participants un modèle d'”autogestion de la vie privée” où les participants ont facilement accès (via un lien ou un élément de menu) aux brèves coordonnées de l’entité. La page d’accueil de l’application est un excellent endroit pour afficher des informations pertinentes sur la vie privée, des informations de contact et fournir un hyperlien vers une “deuxième couche” d’informations plus détaillées sur la vie privée, conformément à l’article 12.7 du RGPD.

Si le traitement implique des tiers, une clause contractuelle avec les destinataires des données, qu’ils soient responsables du traitement ou sous-traitants, doit être signée. Cette clause peut stipuler que le destinataire s’abstient de tenter de ré-identifier les personnes concernées et que, en cas de ré-identification, ces données doivent être supprimées et le fait doit être notifié.

Liste de contrôle : [4] ☐ Les responsables du traitement revoient régulièrement leurs traitements et, le cas échéant, mettent à jour leur documentation et les informations relatives à la vie privée des personnes. ☐ Les utilisateurs sont informés de toutes les données personnelles qui seront collectées. Ces données ne sont collectées que si une base légale pour le traitement s’applique. ☐ Les responsables du traitement expliquent comment les gens peuvent accéder aux détails des informations qui sont utilisées pour les services offerts par l’outil.

1. Rapports techniques du JRC, Lignes directrices pour les administrations publiques sur la confidentialité de la localisation, à l’adresse suivante : https://publications.jrc.ec.europa.eu/repository/handle/JRC103110. ↑
2. Rapports techniques du JRC, Lignes directrices pour les administrations publiques sur la confidentialité de la localisation, à l’adresse suivante : https://publications.jrc.ec.europa.eu/repository/handle/JRC103110. ↑
3. Goldenholz DM, Goldenholz SR, Krishnamurthy KB, et al. Using mobile location data in biomedical research while preserving privacy. Journal of the American Medical Informatics Association, ocy071, https://doi.org/10.1093/jamia/ocy071. ↑
4. Cette liste de contrôle a été construite sur la base de ces documents : EDPB, Guidelines 04/2020 on the use of location data and contact tracing tools in the context of the COVID-19 outbreak Adopté le 21 avril 2020 ; ICO (no date) Principle (b) : purpose limitation. Bureau du commissaire à l’information, Wilmslow. Disponible à l’adresse suivante : https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/principles/purpose-limitation/ (consulté le 17 mai 2020). ↑