Politique de protection des données de Grassroots Economics Foundation

Traduction de travail — pas encore en vigueur. Cette traduction française est mise à disposition pour relecture avant l’approbation juridique. Le texte anglais est le texte source et prévaut, sauf disposition contraire du droit applicable. Lire le texte anglais.

1. Objet

Grassroots Economics Foundation (GEF) respecte la vie privée et considère le traitement des données à caractère personnel comme une responsabilité envers les personnes et les communautés concernées par son travail. La présente Politique fixe des normes minimales pour les données à caractère personnel traitées dans le cadre des systèmes, programmes, recherches, activités éducatives, événements, partenariats et opérations de GEF, y compris l’application Cosmo-Local Credit (CLC App).

La présente Politique s’appuie sur le Data Protection Act, 2019 du Kenya, les règlements applicables et les orientations actuelles de l’Office of the Data Protection Commissioner. D’autres lois peuvent également s’appliquer dans les lieux où GEF intervient ou dans lesquels se trouvent les personnes concernées.

L’Avis de confidentialité de CLC App fournit des informations plus précises sur les champs de l’Application, les ressources publiques, la recherche de destinataires et les données inscrites sur une blockchain publique. Les Conditions d’utilisation régissent l’utilisation de l’Application.

2. Champ d’application

La présente Politique s’applique aux administrateurs, dirigeants, membres du personnel, bénévoles, stagiaires, prestataires, consultants, chercheurs et autres personnes qui traitent des données à caractère personnel pour le compte de GEF ou en son nom. Les contrats et accords de partenariat doivent imposer aux prestataires et partenaires des obligations appropriées en matière de protection des données.

La Politique couvre les données à caractère personnel contenues dans les documents numériques, papier, audio, visuels, de recherche, de communication et autres. Elle s’applique que GEF agisse en qualité de responsable du traitement, de responsable conjoint ou de sous-traitant. Chaque projet doit déterminer le rôle de GEF et celui des autres parties, plutôt que de supposer qu’une même politique régit tous les participants.

3. Principes directeurs

GEF traite les données à caractère personnel conformément aux principes suivants :

1. Licéité, loyauté et transparence. Dans la mesure du possible et lorsque cela est requis, les personnes reçoivent des informations compréhensibles sur les traitements importants avant ou au moment de la collecte de leurs données.
2. Limitation des finalités. Les données sont collectées pour des finalités déterminées, explicites et légitimes ; elles ne sont pas réutilisées de manière incompatible sans base juridique et sans information appropriée.
3. Minimisation des données. GEF ne collecte et ne communique que les données raisonnablement nécessaires à la finalité indiquée.
4. Exactitude. Des mesures raisonnables sont prises pour maintenir l’exactitude des données à caractère personnel importantes et rectifier les informations trompeuses.
5. Limitation de la conservation. Les données identifiantes ne sont conservées que pendant la durée raisonnablement nécessaire à leur finalité et au respect des obligations applicables.
6. Intégrité et confidentialité. Les mesures de protection sont proportionnées aux données, aux personnes, au contexte et aux risques.
7. Responsabilité. GEF documente les décisions importantes et peut démontrer comment ces principes sont appliqués.
8. Participation et dignité. Les pratiques relatives aux données doivent respecter la capacité d’action, la sécurité, la culture et les attentes raisonnables des personnes et communautés concernées.

4. Responsabilisation et responsabilités

Les organes de gouvernance et de direction de GEF doivent veiller à ce que les risques liés à la vie privée bénéficient de ressources et d’une supervision appropriées. Ils désignent les rôles responsables de la coordination en matière de confidentialité, de la sécurité de l’information, des archives, de la gouvernance de la recherche, de la protection des personnes, de la réponse aux incidents et des demandes des personnes concernées.

La responsabilité suit les tâches et les pouvoirs exercés ; elle n’est pas automatiquement attribuée à un service particulier. Toute personne qui travaille pour GEF ou en son nom doit :

• respecter la présente Politique et les procédures applicables à son rôle ;
• accéder aux données à caractère personnel uniquement lorsque cet accès est autorisé et nécessaire ;
• signaler rapidement toute perte, utilisation abusive, divulgation ou faiblesse de sécurité suspectée ;
• suivre les formations requises ; et
• consulter le responsable du projet ou de la confidentialité avant d’entreprendre un traitement incertain ou à haut risque.

GEF tient des registres appropriés des systèmes de traitement, des finalités, des catégories de données, des personnes concernées, des bases juridiques, des destinataires, des transferts, des durées de conservation, des mesures de protection et des responsables désignés.

5. Bases juridiques et consentement

Toute activité de traitement doit reposer sur une base juridique applicable, par exemple le consentement, l’exécution d’un accord, le respect d’une obligation légale, la protection des intérêts vitaux, l’exécution d’une mission d’intérêt public lorsqu’elle est juridiquement disponible, ou un intérêt légitime qui ne l’emporte pas sur les droits des personnes.

L’équipe responsable consigne cette base avant la collecte. Lorsque le traitement repose sur le consentement, celui-ci doit être éclairé, spécifique, librement donné lorsque cela est requis, démontrable et aussi facile à retirer qu’à donner. Le refus ou le retrait du consentement ne doit pas entraîner une conséquence défavorable qui n’aurait pas été annoncée.

Le consentement n’est pas la réponse par défaut pour toute activité. GEF doit utiliser la base qui décrit fidèlement le traitement et appliquer toute garantie supplémentaire requise pour les données sensibles, les enfants, les personnes vulnérables, les communications directes, la recherche ou les transferts internationaux.

6. Transparence et collecte

Avant de collecter des données à caractère personnel, GEF fournit un avis adapté au public et au contexte. Selon le cas, cet avis doit expliquer :

• qui collecte les données et comment prendre contact ;
• quelles données sont collectées et si elles sont obligatoires ou facultatives ;
• pourquoi elles sont utilisées et sur quelle base juridique ;
• les conséquences de l’absence de fourniture des données obligatoires ;
• qui les reçoit et si elles peuvent être traitées à l’international ;
• pendant combien de temps elles sont conservées ou comment cette durée est déterminée ;
• les principales dispositions relatives à la sécurité et à la confidentialité ;
• si les informations seront publiées ou inscrites sur une blockchain publique ; et
• les droits de la personne ainsi que les voies de réclamation.

GEF collecte normalement les données directement auprès de la personne concernée. Une collecte indirecte doit reposer sur une base juridique, provenir d’une source documentée et faire l’objet d’une information appropriée, sauf lorsqu’une exception légale s’applique.

7. Données sensibles et personnes exposées à un risque accru

Des données peuvent créer un risque grave en raison de leur contenu, de leur contexte, de leur combinaison ou des personnes concernées. Cela comprend notamment les informations relatives à la santé, les données biométriques, génétiques, ethniques, religieuses, politiques, sexuelles, financières, de localisation précise, d’identification ou de protection des personnes, ainsi que les données susceptibles d’exposer une personne à la discrimination, à la violence, à l’exclusion, à la surveillance, à l’exploitation ou à une perte.

GEF applique des garanties renforcées lorsque le risque est plus élevé. Ces mesures peuvent comprendre la réduction des données collectées, la séparation des identifiants, des restrictions d’accès renforcées, le chiffrement, des durées de conservation plus courtes, des moyens de contact plus sûrs, des transferts sécurisés, un examen avant divulgation, des conseils spécialisés et une analyse d’impact documentée.

Les équipes doivent tenir compte du contexte local. Un nom, une appartenance communautaire, un point sur une carte, une adresse de Portefeuille, une photographie ou un historique de transactions peut être sensible même si toutes les législations ne le classent pas formellement comme donnée sensible.

8. Enfants et protection de l’enfance

Le traitement des données d’un enfant exige une attention particulière, une base juridique applicable, des informations adaptées à son âge et toute autorisation requise d’un parent ou d’un tuteur. L’intérêt supérieur de l’enfant constitue une considération primordiale.

GEF minimise les données relatives aux enfants, en limite l’accès, évite les localisations précises ou les médias identifiants qui ne sont pas nécessaires et évalue si une publication ou une communication numérique pourrait causer un préjudice prévisible. Le traitement doit respecter la Politique de protection de l’enfance.

CLC App est réservée aux adultes. La présente Politique ne crée aucune possibilité pour un enfant de s’inscrire dans l’Application.

9. Protection de la vie privée dès la conception et analyse d’impact

Les exigences relatives à la vie privée doivent être prises en compte dès la conception d’un projet ou d’un système, et non ajoutées uniquement après la collecte des données. Avant le lancement, les équipes doivent définir la finalité, les flux de données, la visibilité, les accès, la conservation, la suppression, les prestataires, les transferts et les dispositions de réponse aux incidents.

GEF réalise et consigne une analyse d’impact relative à la protection des données lorsqu’un traitement est susceptible de créer un risque élevé. Les situations pertinentes comprennent notamment la surveillance systématique ou à grande échelle, les données sensibles ou relatives aux enfants, la localisation précise, les nouvelles technologies, la mise en correspondance publique, l’évaluation automatisée, la combinaison de jeux de données ou une publication irréversible.

Tout risque élevé non résolu doit être soumis à l’organe de direction ou de gouvernance responsable et, lorsque cela est requis, à l’autorité compétente avant le début du traitement.

10. Accès et sécurité

L’accès aux données à caractère personnel est limité selon le rôle et les besoins. GEF choisit des mesures de protection adaptées au système et au risque, qui peuvent notamment comprendre :

• une authentification forte et un accès administratif contrôlé ;
• des autorisations fondées sur le moindre privilège et une séparation des fonctions ;
• la sécurisation des transmissions et une protection appropriée des données stockées ;
• des logiciels pris en charge, l’application de correctifs, l’examen des configurations et la gestion des vulnérabilités ;
• la journalisation, la surveillance, les limites de débit et la détection des abus ;
• des sauvegardes protégées, des procédures de restauration testées et des mesures de continuité du service ;
• la suppression ou la destruction sécurisée à la fin de la durée de conservation ; et
• des obligations contractuelles de confidentialité et de sécurité pour le personnel et les prestataires.

Les contrôles de sécurité sont réexaminés lorsque les systèmes, les menaces ou les risques évoluent. Les données inscrites sur une blockchain publique nécessitent des mesures différentes, car les enregistrements confirmés ne peuvent normalement être ni modifiés ni supprimés.

11. Prestataires, partenaires et transferts

Avant de permettre à un prestataire d’accéder à des données à caractère personnel, GEF évalue la finalité, la nécessité, la sécurité, la localisation, les communications ultérieures, la suppression et la capacité du prestataire à contribuer au respect des obligations légales. Les conditions écrites doivent, lorsque cela est requis, définir les traitements autorisés, la confidentialité, la sécurité, la notification des incidents, le recours à d’autres sous-traitants, l’assistance, la restitution ou la suppression et les modalités de contrôle.

Un partenariat ne fait pas automatiquement de chaque organisation un sous-traitant. Chaque dispositif doit déterminer si les parties agissent comme responsables du traitement indépendants, responsables conjoints, ou responsable du traitement et sous-traitant, puis informer fidèlement les personnes de ces rôles.

Tout accès ou transfert international doit reposer sur une base juridique applicable et des garanties appropriées. Les équipes concernées documentent le destinataire, le pays de destination, la finalité, les données, les risques et les garanties. Les informations publiées et les données inscrites sur une blockchain publique peuvent être consultées dans le monde entier et exigent une information claire avant publication.

12. Recherche, statistiques et données ouvertes

GEF soutient une recherche responsable et le partage ouvert des connaissances. L’ouverture ne signifie pas que les données à caractère personnel doivent être publiées par défaut.

Les travaux de recherche et de publication de données doivent :

• définir la question, l’intérêt public, la base juridique et le minimum de données nécessaire ;
• recourir, selon le cas, à l’agrégation, la désidentification, la pseudonymisation, l’échantillonnage ou un accès contrôlé ;
• évaluer les risques de réidentification et de préjudice collectif, notamment par combinaison avec des données publiques ;
• éviter de présenter des données désidentifiées comme anonymes lorsque leur réidentification reste raisonnablement possible ;
• documenter, lorsque cela est requis, le consentement, l’examen éthique, l’accord de la communauté ou une autre autorisation légale ;
• fixer des règles d’accès, de réutilisation, d’attribution, de conservation, de rectification et de retrait adaptées au projet ; et
• examiner les tableaux, cartes, récits, images et petits groupes avant publication afin d’éviter toute divulgation involontaire.

Les chercheurs et destinataires ne doivent pas tenter de réidentifier des personnes ni utiliser des données pour nuire à une personne ou une communauté, la discriminer, l’exploiter ou la prendre pour cible. GEF peut limiter, rectifier, retirer ou refuser une publication lorsque le risque n’est pas suffisamment maîtrisé.

13. Exactitude, rectification et provenance

Les équipes prennent des mesures raisonnables pour maintenir l’exactitude des données à caractère personnel au regard de la finalité de leur utilisation. Les personnes doivent disposer d’un moyen pratique de signaler les erreurs importantes.

Les rectifications doivent préserver les éléments de provenance, d’audit ou de litige nécessaires, sans continuer à présenter comme actuelles des informations incorrectes. Lorsqu’une blockchain publique ou une copie contrôlée de manière indépendante ne peut pas être modifiée, GEF rectifie les données hors chaîne qu’elle contrôle et explique, lorsque cela est pertinent, la limite technique.

14. Conservation et élimination

Chaque système ou activité doit disposer d’une règle de conservation fondée sur la finalité, les obligations légales, les contrats, les risques, les délais de prescription, les besoins d’audit, l’intégrité de la recherche et les droits des personnes concernées. Une durée fixe ne s’applique pas à toutes les catégories au seul motif qu’un partenaire ou un autre projet l’utilise.

À l’issue de la durée de conservation, GEF supprime, détruit, agrège, désidentifie ou limite les données de manière sécurisée. La suppression des sauvegardes peut suivre un cycle de remplacement documenté. Une obligation de conservation, une question de protection des personnes, une réclamation, une enquête ou une archive d’intérêt public peut exiger une conservation limitée assortie d’un accès restreint.

GEF ne peut pas supprimer les données inscrites sur une blockchain publique ni les copies contrôlées par des tiers indépendants.

15. Droits individuels et réclamations

GEF met à disposition une procédure pratique permettant aux personnes d’exercer les droits prévus par le droit applicable, notamment les droits à l’information, à l’accès, à la rectification, à l’opposition, à la limitation, au retrait du consentement, à la suppression et, le cas échéant, à la portabilité.

Les demandes doivent être envoyées à [email protected]. GEF peut vérifier l’identité et la qualité pour agir du demandeur et répond dans le délai fixé par le droit applicable. Lorsqu’une demande ne peut pas être entièrement satisfaite, GEF en explique la raison lorsque la loi le permet et indique une voie de réclamation disponible.

Les personnes peuvent déposer une plainte auprès de l’Office of the Data Protection Commissioner ou d’une autre autorité compétente.

16. Incidents relatifs aux données

Toute personne qui travaille pour GEF ou en son nom doit signaler rapidement toute perte, tout accès non autorisé, toute divulgation, altération, destruction ou utilisation abusive suspectée de données à caractère personnel, par le canal prévu pour les incidents ou auprès de la direction responsable.

GEF circonscrit l’incident et enquête, protège les personnes concernées, conserve les éléments de preuve appropriés, évalue le risque, documente ses décisions et informe les personnes concernées, partenaires, assureurs ou autorités lorsque cela est requis. Les informations relatives à l’incident ne doivent être communiquées qu’aux personnes qui en ont besoin pour intervenir, rendre compte ou respecter la loi.

17. Formation, contrôle et application

Le personnel reçoit des informations sur la confidentialité et la sécurité adaptées à son rôle. Les fonctions présentant un risque plus élevé bénéficient d’une formation complémentaire. GEF réexamine périodiquement les systèmes, les accès, les avis, les prestataires, la conservation, les incidents et le respect de la présente Politique.

Le non-respect de la présente Politique peut entraîner une limitation des accès, des mesures correctives, des recours contractuels, des mesures disciplinaires, la fin d’un accord, un signalement à une autorité ou toute autre mesure proportionnée.

Aucune personne ne doit subir de représailles pour avoir signalé de bonne foi une préoccupation relative à la confidentialité ou à la sécurité.

18. Réexamen et contact

GEF réexamine la présente Politique au moins une fois par an et à la suite de toute évolution juridique, opérationnelle ou technique importante. Les versions mises à jour indiquent leur date de publication et leur date d’entrée en vigueur.

Les questions relatives à la confidentialité, les demandes d’exercice de droits et les préoccupations peuvent être adressées à :

Grassroots Economics Foundation
P.O. Box 1659-80108
Kilifi, Kenya
[email protected]