Fuite de données sensibles, demandes de listes par les autorités et protocole de partage d'informations

Ampleur : 1 240 ménages × 6,2 = environ 7 690 personnes identifiables, dont 37 ménages signalés « VBG » et 12 ménages signalés « enfant associé » (49 ménages, soit 4 % du fichier, environ 300 personnes au total). Le fichier a été vu par 41 personnes pendant deux jours et a pu être téléchargé ou transféré : la suppression du message ne garantit rien.

Gravité : très élevée. L'association nom, téléphone, groupe ethnique, village d'origine et site actuel permet de localiser et de cibler des personnes dans un contexte de conflit à composante communautaire. Les mentions « VBG » et « enfant associé » exposent les survivantes à la stigmatisation, aux représailles de l'auteur ou de la famille, et les enfants associés et leurs familles à des arrestations ou à un nouveau recrutement. Le risque touche aussi le personnel (accusation de collaboration) et l'accès de l'organisation.

24 heures : (1) confinement : demander par écrit et individuellement aux membres du groupe de supprimer le fichier, sans en rappeler le contenu ; demander à l'administrateur du groupe de limiter les transferts ; (2) déclarer l'incident à la direction pays et au point focal protection des données selon la procédure ; (3) évaluation individuelle du risque pour les 49 ménages signalés, en priorité les 37 VBG et les 12 enfants associés, par les gestionnaires de cas, avec contact discret selon le canal convenu avec chaque personne ; (4) suspendre l'envoi d'exports nominatifs par messagerie pour toute l'équipe ; (5) informer le moniteur des suites, sans sanction immédiate, et recueillir les faits sur la pression subie.

7 jours : plans de sécurité et options de relocalisation ou de référencement pour les personnes les plus exposées ; information des ménages concernés de façon adaptée, s'il est sûr de le faire ; analyse des causes (pression de l'administration, absence de règles de partage, fichiers sur téléphones personnels) ; notification au bailleur si l'accord le prévoit ; information du groupe de travail protection sans données personnelles ; plan de mesures correctives (question 3) ; suivi de tout incident signalé par les ménages concernés.

Analyse : les données demandées sont exactement celles qui permettraient de cibler des personnes sur une base ethnique et d'âge, dans un contexte d'arrestations de jeunes hommes. Les transmettre exposerait les personnes à des violations graves, détruirait la confiance des communautés et compromettrait l'accès et la sécurité du personnel. Les données ont été collectées pour fournir une assistance, avec le consentement des personnes pour cette seule finalité.

Principes : principes humanitaires (neutralité, impartialité, indépendance) ; principe de protection « ne pas nuire » ; limitation de la finalité et minimisation des données ; consentement éclairé ; responsabilité des données telle que décrite par les orientations opérationnelles de l'IASC.

Ce qui peut être partagé : des chiffres agrégés et non sensibles (nombre de ménages et de personnes par site, par sexe et grande tranche d'âge), si cela sert l'assistance ou la protection des sites, sans ethnie ni données permettant d'identifier des groupes réduits. La position est coordonnée avec la direction pays, le groupe de travail protection et, si possible, une position commune des organisations humanitaires (coordination civilo-militaire).

Réponse : « Nous accusons réception de votre courrier et partageons votre souci de la sécurité des sites. Notre organisation collecte des données personnelles dans le seul but de fournir une assistance humanitaire, avec le consentement des personnes et selon des règles strictes de confidentialité. Nous ne sommes donc pas en mesure de transmettre de listes nominatives ni de données sur l'origine ethnique ou l'âge des membres des ménages. Nous pouvons vous communiquer les effectifs globaux par site, et nous restons disponibles pour échanger, avec les autres organisations humanitaires, sur les mesures de sécurité des sites. Notre directeur pays se tient à votre disposition pour un entretien. »

Trois premières mesures : (1) sécuriser physiquement et numériquement les dossiers de gestion de cas ; (2) supprimer immédiatement toutes les données nominatives des téléphones personnels et interdire l'envoi de fichiers nominatifs par messagerie ; (3) supprimer les noms de victimes du monitoring et l'ethnie de l'enregistrement si elle n'est pas nécessaire. Ensuite : formation de toute l'équipe, accord de confidentialité signé, procédure écrite de gestion des incidents de données.

Groupe de travail protection : oui, données agrégées et anonymisées (incidents par commune et par type), sans données permettant de réidentifier une personne (suppression des cellules à très petits effectifs, par exemple moins de 5).

Bailleur : pas de liste nominative avec téléphones. Alternatives : liste par identifiants uniques ; vérification par l'agent de suivi d'un échantillon de ménages qui ont consenti à être contactés, contactés par l'organisation ; visite accompagnée ; ou accord de partage de données précisant finalité, sécurité, durée et destruction, si la vérification nominative est contractuellement exigée et le consentement prévu.

Autre ONG : partage possible pour une finalité d'assistance compatible, mais seulement dans le cadre d'un accord de partage de données, limité aux données nécessaires (nom, identifiant, taille du ménage), sans vulnérabilités sensibles, et si le consentement recueilli couvre ce partage ; sinon, l'organisation peut contacter elle-même les ménages pour recueillir leur accord.

Protocole en cinq règles : (1) finalité définie et compatible avec la collecte ; (2) minimisation : seules les données nécessaires, agrégées par défaut ; (3) jamais de données nominatives sensibles (VBG, enfants associés, ethnie, auteurs présumés) hors gestion de cas et référencement consenti ; (4) transfert uniquement par canaux sécurisés, avec accord écrit et validation du responsable protection ; (5) registre des partages, durée de conservation et destruction confirmée.

Moniteur : pas de licenciement immédiat sous la pression de l'équipe. L'erreur est grave mais elle révèle surtout des défaillances de système (exports sur téléphones, absence de règles, pression d'un agent de l'administration non signalée à la hiérarchie). Je demande une procédure disciplinaire équitable conduite par les ressources humaines, avec audition du moniteur ; en attendant, je retire ses accès aux données nominatives. Je recueille les faits sur la pression subie, qui doit être traitée à part. Je rappelle à toute l'équipe l'obligation de signaler ce type de demande.

Chef de quartier : je le remercie, je prends les menaces au sérieux : entretien avec le responsable sécurité, analyse de la menace, conseils de sécurité, et, s'il le souhaite et que c'est sûr, référencement vers un acteur de protection. Je ne divulgue pas qu'il est à l'origine du signalement.