Filtración de datos sensibles, solicitudes de listas por parte de las autoridades y protocolo de intercambio de información

Magnitud: 1 240 hogares × 6,2 = unas 7 690 personas identificables, de las cuales 37 hogares están señalados como « VBG » y 12 hogares como « niño asociado » (49 hogares, es decir, el 4 % del archivo, unas 300 personas en total). El archivo fue visto por 41 personas durante dos días y puede haber sido descargado o reenviado: la eliminación del mensaje no garantiza nada.

Gravedad: muy alta. La combinación de nombre, teléfono, grupo étnico, aldea de origen y sitio actual permite localizar y atacar a personas en un contexto de conflicto con componente comunitario. Las menciones « VBG » y « niño asociado » exponen a las sobrevivientes a la estigmatización y a represalias del agresor o de la familia, y a los niños asociados y sus familias a detenciones o a un nuevo reclutamiento. El riesgo afecta también al personal (acusación de colaboración) y al acceso de la organización.

24 horas: (1) contención: pedir por escrito e individualmente a los miembros del grupo que eliminen el archivo, sin recordar su contenido; pedir al administrador del grupo que limite los reenvíos; (2) declarar el incidente a la dirección de país y al punto focal de protección de datos según el procedimiento; (3) evaluación individual del riesgo para los 49 hogares señalados, prioritariamente los 37 de VBG y los 12 de niños asociados, por parte de los gestores de casos, con contacto discreto según el canal acordado con cada persona; (4) suspender el envío de exportaciones nominativas por mensajería para todo el equipo; (5) informar al monitor de las medidas adoptadas, sin sanción inmediata, y recabar los hechos sobre la presión sufrida.

7 días: planes de seguridad y opciones de reubicación o de derivación para las personas más expuestas; información a los hogares afectados de forma adecuada, si es seguro hacerlo; análisis de las causas (presión de la administración, ausencia de normas de intercambio, archivos en teléfonos personales); notificación al donante si el acuerdo lo prevé; información al grupo de trabajo de protección sin datos personales; plan de medidas correctivas (pregunta 3); seguimiento de cualquier incidente denunciado por los hogares afectados.

Análisis: los datos solicitados son exactamente los que permitirían atacar a personas por motivos étnicos y de edad, en un contexto de detenciones de hombres jóvenes. Transmitirlos expondría a las personas a violaciones graves, destruiría la confianza de las comunidades y comprometería el acceso y la seguridad del personal. Los datos se recopilaron para prestar asistencia, con el consentimiento de las personas y únicamente para esa finalidad.

Principios: principios humanitarios (neutralidad, imparcialidad, independencia); principio de protección « no hacer daño »; limitación de la finalidad y minimización de datos; consentimiento informado; responsabilidad en el manejo de datos tal como la describen las orientaciones operativas del IASC.

Lo que puede compartirse: cifras agregadas y no sensibles (número de hogares y de personas por sitio, por sexo y grandes grupos de edad), si sirven a la asistencia o a la protección de los sitios, sin etnia ni datos que permitan identificar grupos reducidos. La posición se coordina con la dirección de país, el grupo de trabajo de protección y, si es posible, con una posición común de las organizaciones humanitarias (coordinación civil-militar).

Respuesta: « Acusamos recibo de su carta y compartimos su preocupación por la seguridad de los sitios. Nuestra organización recopila datos personales con el único fin de prestar asistencia humanitaria, con el consentimiento de las personas y conforme a normas estrictas de confidencialidad. Por consiguiente, no estamos en condiciones de transmitir listas nominativas ni datos sobre el origen étnico o la edad de los miembros de los hogares. Podemos comunicarles las cifras globales por sitio, y seguimos a su disposición para dialogar, junto con las demás organizaciones humanitarias, sobre las medidas de seguridad de los sitios. Nuestro director de país está a su disposición para una reunión. »

Tres primeras medidas: (1) proteger física y digitalmente los expedientes de gestión de casos; (2) eliminar de inmediato todos los datos nominativos de los teléfonos personales y prohibir el envío de archivos nominativos por mensajería; (3) suprimir los nombres de las víctimas del monitoreo y la etnia del registro si no es necesaria. Después: capacitación de todo el equipo, acuerdo de confidencialidad firmado, procedimiento escrito de gestión de incidentes de datos.

Grupo de trabajo de protección: sí, datos agregados y anonimizados (incidentes por municipio y por tipo), sin datos que permitan reidentificar a una persona (supresión de las celdas con efectivos muy pequeños, por ejemplo menos de 5).

Donante: ninguna lista nominativa con teléfonos. Alternativas: lista por identificadores únicos; verificación por parte del agente de seguimiento de una muestra de hogares que hayan consentido ser contactados, contactados por la organización; visita acompañada; o acuerdo de intercambio de datos que precise la finalidad, la seguridad, la duración y la destrucción, si la verificación nominativa es una exigencia contractual y el consentimiento lo prevé.

Otra ONG: intercambio posible para una finalidad de asistencia compatible, pero solo en el marco de un acuerdo de intercambio de datos, limitado a los datos necesarios (nombre, identificador, tamaño del hogar), sin vulnerabilidades sensibles, y si el consentimiento obtenido cubre este intercambio; de lo contrario, la organización puede contactar ella misma a los hogares para obtener su conformidad.

Protocolo en cinco reglas: (1) finalidad definida y compatible con la recopilación; (2) minimización: solo los datos necesarios, agregados por defecto; (3) nunca datos nominativos sensibles (VBG, niños asociados, etnia, presuntos autores) fuera de la gestión de casos y de la derivación consentida; (4) transferencia únicamente por canales seguros, con acuerdo escrito y validación del responsable de protección; (5) registro de los intercambios, periodo de conservación y destrucción confirmada.

Monitor: ningún despido inmediato bajo la presión del equipo. El error es grave, pero revela sobre todo fallos del sistema (exportaciones en teléfonos, ausencia de normas, presión de un agente de la administración no comunicada a la jerarquía). Solicito un procedimiento disciplinario justo dirigido por recursos humanos, con audiencia del monitor; mientras tanto, le retiro el acceso a los datos nominativos. Recabo los hechos sobre la presión sufrida, que debe tratarse por separado. Recuerdo a todo el equipo la obligación de informar de este tipo de solicitudes.

Jefe de barrio: le doy las gracias y me tomo en serio las amenazas: reunión con el responsable de seguridad, análisis de la amenaza, consejos de seguridad y, si lo desea y es seguro, derivación a un actor de protección. No revelo que él es el origen de la alerta.