Sous la loupe - La vie privée en colonie de vacances : la partie immergée de l’iceberg

À l’occasion des vacances d’automne, les organismes d’aide à la jeunesse et les structures d’accueil des enfants intensifient leurs activités pour proposer des colonies de vacances et des services d’accueil de jour. Pour les délégués à la protection des données (DPO) et les professionnels de la protection de la vie privée, c’est le moment idéal pour vérifier et affiner le respect du droit à la protection des données de ces mineurs. Au cours des trois dernières années, les risques liés à la conformité ont considérablement augmenté, notamment en ce qui concerne le traitement de données à caractère personnel sensibles (telles que les informations relatives à une allergie, la demande d’un extrait de casier judiciaire ou la publication d’images). Compte tenu des risques et de la vulnérabilité du groupe cible, une attention proactive à ces risques et le respect rigoureux des règles relatives à la protection des données des enfants, des jeunes et des moniteurs au sein des organismes chargés de l’accueil et de la protection de la jeunesse constituent un point d’attention pour le Service d’Inspection.

Le secteur accorde (à juste titre) une grande attention au partage excessif de photos d’enfants. Les risques liés au « sharenting », c’est-à-dire au partage (abusif) par les parents de photos de leurs propres enfants, ont encore récemment été soulevés par l’APD sur les réseaux sociaux à l’occasion de la rentrée scolaire, dans le prolongement d’initiatives antérieures des autorités françaises et irlandaises. Le risque lié au « sharenting » place dans un autre contexte le recours au consentement parental comme fondement légal du traitement des données à caractère personnel des (jeunes) mineurs, et met en lumière la nécessité de gérer activement ce risque lors du traitement de leurs données personnelles.

Mais le « sharenting » n’est que la partie visible de l’iceberg. Les enquêtes menées par le Service d’Inspection révèlent une augmentation d’autres risques dans le secteur de l’accueil et de l’aide à la jeunesse. En raison de la multiplication des obligations prévues par la réglementation fédérale et régionale, la complexité des tâches des responsables du traitement actifs dans ce secteur s’est accrue ces dernières années. Citons à titre d’exemple l’obligation de contrôle récemment élargie concernant l’extrait du casier judiciaire (« modèle 596_2 ») des animateurs, instaurée par des décrets en Wallonie et en Flandre afin de lutter (à juste titre) contre le risque d’abus sur les enfants, ainsi que l’obligation, prévue par la législation fédérale, de mentionner les numéros du registre national des parents et des enfants sur les formulaires fiscaux types.

Nous renvoyons également à la pratique de parents inquiets qui transmettent des informations sur la santé des mineurs (par exemple sur des allergies, …) par e-mail ou sur des plateformes automatisées, alors qu’il existe une interdiction de traitement des données sensibles et que des alternatives légales et sécurisées sont disponibles via les services de santé traditionnels, qui offrent la possibilité de partager des informations de santé de manière sûre et légale (médecins généralistes, réseaux hospitaliers et dossier médical électronique). D’autre part, le fait de se fonder sur le consentement des parents n’est pas toujours sans risque (cf. le « sharenting ») ; de surcroit, le consentement donné n’est pas toujours correctement encadré ni suffisamment éclairé (stockage sur des supports sans restriction claire en matière de conservation ou de respect des règles permettant de donner, de retirer et de prouver un consentement valide).

Il existe des idées fausses dans ce domaine et nous constatons que les investissements dans l’analyse des risques restent insuffisants. De plus, il semble que le secteur privé de l’aide à la jeunesse et de l’accueil des enfants doive encore travailler à la mise en place de solutions pratiques, à l’instar de ce que l’on observe dans le secteur public (par exemple, le recours aux conseils de délégués à la protection des données externes communs, qui connaissent également les spécificités du secteur).

Lors de ses contrôles, le Service d’Inspection vérifie systématiquement si les responsables du traitement investissent en temps utile dans des conseils sur mesure et dans l’évaluation des risques. Les questions et éléments types lors des contrôles portent sur la rédaction d’une déclaration de confidentialité (plus communément appelée « privacy policy »)  conforme, la désignation d’un délégué à la protection des données et la prise en compte des risques par le biais d’une AIPD correcte. Cela constitue la preuve d’un investissement dans la gestion des risques et une documentation adéquate.

Lors d’une enquête portant sur plusieurs déclarations de confidentialité, le Service d’Inspection a constaté que les associations de jeunesse nationales subventionnées disposaient certes souvent d’une telle déclaration, mais qu’il y était rarement fait référence à un délégué à la protection des données désigné. En ligne également, nous ne constatons aucune confirmation claire de cette obligation de désigner un DPO (dans le secteur privé) et il semble même y avoir des doutes à ce sujet. Or, dès lors que des attestations fiscales doivent être établies et que les numéros du registre national des parents et des enfants doivent y être traités, l’intervention d’un délégué est obligatoire depuis fin 2018 (article 10 de la loi du 8 août 1983 relative au Registre national).

En raison de cette complexité croissante, les risques ont augmenté ces dernières années : des erreurs d’appréciation peuvent être commises, les obligations légales pouvant être interprétées de manière erronée ou disproportionnée, et des alternatives ne sont pas envisagées ni examinées. Une idée fausse courante est, par exemple, que les candidats au poste de moniteur devraient toujours être en mesure de présenter un extrait de casier judiciaire vierge.

En tant qu’instance indépendante chargée, entre autres, de missions d’inspection, l’Autorité de protection des données ne peut pas endosser le rôle de conseiller personnel pour chaque responsable du traitement du secteur, qui a souvent des modes de fonctionnement et des situations totalement différentes.

Nous constatons également que l’IA est de plus en plus souvent utilisée pour comprendre et respecter les obligations en matière de protection de la vie privée. Des informations publiques et compréhensibles (même pour les non-juristes) sont toutefois disponibles en ligne via des guides pratiques et sur des sites web (par exemple ici pour les attestations fiscales), sans qu’il soit nécessaire de recourir à des outils d’IA pour obtenir des informations qui ne sont pas toujours exactes ou adaptées à la situation concrète. De plus, un conseil professionnel sollicité au bon moment peut permettre de trouver des solutions légales et plus proportionnées, de préférence avant même le début d’une inspection, afin d’éviter que des infractions structurelles au RGPD ne soient constatées sur plusieurs années et qu’un manque d’investissement dans la protection des données à caractère personnel des enfants, des jeunes et des moniteurs ne soit mis en évidence.

En attendant un engagement accru en faveur de l’évaluation des risques, l’absence d’investissement de la part des organisations ne constitue pas une excuse pour (continuer à) enfreindre le RGPD. L’Autorité de protection des données souhaite donc attirer l’attention sur ces aspects, dans l’intérêt tant des jeunes que des organisations : traitez la partie émergée de l'iceberg, mais n'oubliez pas les risques qui se cachent en dessous.

Prochain sujet à passer sous la loupe : les emails font leurs preuves!