Migration et protection des données

Les données sont importantes pour comprendre la migration ; toutefois, la collecte, le partage et le traitement de celles-ci présentent des risques liés au droit à la vie privée des personnes concernées si des garanties appropriées ne sont pas mises en place. Il est donc important d’utiliser les meilleures ressources disponibles, qui permettront d’éclairer les politiques migratoires tout en garantissant les droits fondamentaux à la vie privée et la sécurité des personnes concernées. 

La vie privée et la sécurité d’une personne concernée dépendent de la confidentialité de ses données à caractère personnel. La confidentialité des données à caractère personnel est particulièrement importante dans des contextes sensibles tels que la migration des enfants, l’exploitation sexuelle, la traite d’êtres humains ou le trafic illicite de migrants, où l’identification d’une personne concernée peut mettre sa vie en danger. Par conséquent, les responsables du traitement des données migratoires doivent s’assurer que les lois applicables en matière de protection des données et de respect de la vie privée sont respectées et que des garanties appropriées sont en place pour éviter que les données à caractère personnel ne parviennent aux mauvaises personnes. 

Définition

La confidentialité des données migratoires et le respect de la vie privée des personnes concernées sont garantis par des lois et politiques fondées sur des principes, des réglementations et des normes dans des pays du monde entier. Les données à caractère personnel doivent être traitées conformément à ces lois et politiques de protection des données afin de préserver le droit à la vie privée des personnes concernées. La protection des données est un domaine du droit en pleine évolution qui concerne le respect des droits fondamentaux d’une personne, notamment le droit à une vie privée et familiale, tel qu’il est inscrit dans la Déclaration Universelle des Droits de l’Homme. Le droit à la protection des données est également consacré par la CHarte des Droits Fondamentaux de l’Union Européenne et le Traité sur le Tonctionnement de l’Union Européenne, qui donnent effet au droit des personnes à leur vie privée en leur permettant de contrôler la manière dont les informations les concernant sont recueillies et utilisées.  

La protection des données est non seulement un droit de l’homme fondamental, mais également l’une des questions centrales de l’éthique institutionnelle. Les chercheurs, les organisations et les entreprises sont tenus de fournir des informations détaillées décrivant le traitement des données au cours de leurs processus d’analyse, de collecte, de stockage et de distribution des données. À toutes les étapes de ces processus, les données utilisées doivent être protégées, minimisées et détruites conformément aux principes existants en matière de protection des données (Commission européenne, 2018). 

Le Manuel de protection des données de l’OIM définit plusieurs concepts relatifs à la protection des données : 

● Protection des données – « l’application systématique d’un ensemble de mesures institutionnelles, techniques et matérielles qui garantissent le droit au respect de la vie privée en ce qui concerne la collecte, le stockage, l’utilisation et la divulgation de données à caractère personnel » (OIM, 2011).   

● Données à caractère personnel – « toute information se rapportant à une personne concernée identifiée ou identifiable, consignée dans un dossier électronique ou papier » (OIM, 2011).  

● Personnes concernées – individus pouvant être identifiés « directement ou indirectement en fonction d’un ou plusieurs éléments précis, à savoir, entre autres : un nom, un numéro d’identification, une situation matérielle ou des caractéristiques physiques, mentales, culturelles, économiques ou sociales » (OIM, 2011).  

● Consentement – « La déclaration orale ou signature manuscrite des personnes concernées indiquant qu’elles ont clairement compris et saisi les conséquences d’un consentement exprès donné à la collecte et au traitement de données. Il y a consentement éclairé quand la personne concernée accepte que ses données à caractère personnel soient recueillies après avoir pris en considération tous les faits pertinents liés à la collecte et au traitement des données » (OIM, 2011). Le consentement doit être enregistré, par exemple, lors des entretiens, sur les formulaires d’inscription et de demande ou dans le cas des enregistrements électroniques. 

Sources juridiques 

Le droit à la vie privée est un droit de l’homme. Il existe des instruments internationaux, régionaux et nationaux qui appellent au respect et à la protection du droit à la vie privée. Les instruments juridiques existants au niveau international et régional sont notamment :   

Les instruments internationaux 

• La Déclaration Universelle des Droits de l’Homme : Tous les instruments relatifs à la protection des données aux niveaux international, régional, national et local sont fondés sur le droit à la vie privée, qui est consacré par l’article 12, Droit à la vie privée, de la Déclaration Universelle des Droits de l’Homme.  

« Nul ne sera l’objet d’immixtions arbitraires dans sa vie privée, sa famille, son domicile ou sa correspondance, ni d’atteintes à son honneur et à sa réputation. Toute personne a droit à la protection de la loi contre de telles immixtions ou de telles atteintes. »  

L’on trouve des termes similaires dans d’autres instruments juridiques internationaux, mais qui précisent le type de personne à qui le droit à la vie privée est accordé : 

• Le Pacte international relatif aux droits civils et politiques (article 17) 

• La Convention relative aux droits de l’enfant (article 16) 

• La Convention internationale sur la protection des droits de tous les travailleurs migrants et des membres de leur famille (article 14)  

• La Convention relative aux droits des personnes handicapées (article 22) 

Les instruments régionaux 

Europe 

● L’article 8 de la Convention européenne des droits de l’homme (CEDH) établit que « toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance ». 

● La Convention 108 du Conseil de l’Europe assure la protection des personnes à l’égard du traitement automatisé des données à caractère personnel. Le Conseil a adopté ce document qui constitue le premier accord juridiquement multilatéral au monde sur la protection des données à caractère personnel. 

● Le règlement général européen sur la protection des données (RGPD) a été approuvé le 15 avril 2016 et est entré en vigueur le 25 mai 2018, remplaçant la directive 95/46/CE, qui sert d’orientation pour harmoniser les lois sur la protection des données entre les États Membres. La compétence du RGPD est étendue par rapport à la directive précédente, car les règles s’appliquent aux responsables – y compris en dehors de l’UE – qui traitent les données des résidents de l’UE. Il a également réexaminé et redéfini la politique de consentement et précisé les sanctions en cas de violation de la vie privée. Par son cadre réglementaire, la directive 95/46/CE visait à assurer la protection des données et à permettre la libre circulation des données d’un État Membre à l’autre. Depuis mai 2018, le GDPR est en vigueur dans les 27 États Membres actuels de l’Union européenne. 

● La Charte des Droits Fondamentaux de l’Union Européenne et le Traité de Lisbonne mentionnent expressément eux aussi la protection des données à caractère personnel. La première a un effet juridique contraignant sur les États Membres et la seconde oblige toutes les institutions de l’UE à protéger les droits fondamentaux des personnes lors du traitement de leurs données à caractère personnel. 

● Le Parlement européen et le Conseil ont également établi le règlement (CE) no 45/2001 qui assure la protection du droit des personnes à la vie privée lors du traitement des données à caractère personnel par les institutions et organes de l’Union européenne. Ce règlement a institué le contrôleur européen de la protection des données, une autorité de contrôle impartiale, qui fait respecter et renforce les normes européennes en matière de protection des données et de respect de la vie privée. 

Autres instruments juridiques régionaux 

● Amériques – La Convention américaine relative aux droits de l’homme (article 11)  

● Asie – La Déclaration des droits de l’homme (paragraphe 21) de l’Association des nations de l’Asie du Sud-Est (ASEAN).  

● Le cadre de l’ASEAN sur la protection des données à caractère personnel (2016) est important pour les pays asiatiques et constitue un cadre multilatéral en matière de protection des données et de respect de la vie privée dans la région, élaboré pour tenir compte des différentes réglementations à cet égard. 

● Le cadre de protection de la vie privée (APEC Privacy Framework) de l’Association de coopération économique Asie-Pacifique (APEC) a été approuvé en 2004 et une deuxième itération du cadre a été publiée en 2015. Il s’agit d’un ensemble de principes et de lignes directrices établissant des mesures efficaces de protection de la vie privée afin d’éviter tout obstacle à la circulation de l’information et de garantir la poursuite du commerce et de la croissance économique dans la région APEC, qui compte 27 pays. Le cadre de protection de la vie privée de l’APEC a servi de base au système de règles transfrontalières de protection de la vie privée de l’APEC (APEC Cross-Border Privacy Rules system, CBPR). Le CBPR vise à assurer la libre circulation continue des données personnelles à travers les frontières, tout en établissant un mécanisme de responsabilité volontaire pour garantir la protection et la sécurité des données à caractère personnel. Six pays participent actuellement au CBPR : le Canada, le Japon, la République de Corée, le Mexique, Singapour et les États-Unis. 

● Afrique – La Charte africaine des droits et du bien-être de l’enfant (article 10). 

● La Convention de l’Union africaine sur la cybersécurité et la protection des données à caractère personnel a été adoptée par les États Membres de l’Union africaine en 2014 pour garantir que les États Membres respectent les libertés et les droits fondamentaux des individus lorsqu’ils traitent des données à caractère personnel. La Convention énonce des obligations relatives aux conditions régissant le traitement des données à caractère personnel et établit des principes fondamentaux.  

● Les Lignes directrices sur la protection des données à caractère personnel pour l’Afrique ont été publiées en 2018 dans le cadre d’une initiative conjointe de l’Internet Society et de la Commission de l’Union africaine. Elles ont été élaborées pour faciliter la mise en œuvre de la Convention dans la déclaration ministérielle du Comité technique spécialisé de l’Union africaine sur la communication et les TIC (AU/CCICT-2). Les lignes directrices énoncent 18 recommandations qui doivent constituer un guide pour le processus évolutif d’élaboration de politiques, d’orientations opérationnelles et de pratiques exemplaires, la protection des données étant un domaine vaste et en constante évolution. 

Cadres relatifs à la protection des données dans certaines organisations internationales et multilatérales œuvrant dans le domaine de la migration 

Nations Unies 

● Les organisations du système des Nations Unies ont adopté en 2018 des orientations spécifiques sur la protection des données à caractère personnel, énoncées dans le document UN Principles on Personal Data Protection and Privacy of 2018. 

● Les Principes directeurs de l’Assemblée générale des Nations Unies pour la réglementation des fichiers personnels informatisés, tels qu’adoptés par la résolution A/Res/45/95 du 14 décembre 1990. 

● En juillet 2015, le Conseil des droits de l’homme a nommé le tout premier Rapporteur spécial sur le droit à la vie privée. Le Rapporteur spécial est mandaté par la résolution 28/16 du Conseil des droits de l’homme, entre autres, pour faire rapport sur les violations présumées du droit à la vie privée et soumettre un rapport annuel au Conseil des droits de l’homme. 

● En octobre 2018, le Rapporteur spécial sur la promotion et la protection du droit à la liberté d’opinion et d’expression a publié un rapport sur les implications des technologies d’intelligence artificielle pour les droits de l’homme, qui a révélé que les groupes particulièrement vulnérables sont les plus susceptibles d’être désavantagés par les systèmes de modération de contenu par intelligence artificielle.  

● En janvier 2019, l’Assemblée générale des Nations Unies adopte les recommandations du rapport Le droit à la vie privée à l’ère du numérique, notant que les enfants et les femmes sont particulièrement vulnérables à la violation de leur vie privée.  

● La Conférence générale de l’Organisation des Nations Unies pour l’éducation, la science et la culture (UNESCO) a élaboré un avant-projet de recommandation sur l’éthique de l’intelligence artificielle en 2020.

● En 2 020, l'UNICEF a publié sa politique sur la protection des données personnelles qui établit un cadre pour le traitement des données personnelles dans tous les bureaux de l'UNICEF dans le monde et garantit que les droits à la vie privée des individus sont honorés et leurs données protégées de manière appropriée.  

Organisation Internationale pour les Migrations (OIM) 

● La Politique de l’OIM relative à la gouvernance des données sur la migration régit l’utilisation par l’Organisation des dnnées et informations relatives à la migration. Cette politique décrit les normes qui garantissent que l’OIM a pour principe de disposer d’un cadre de gouvernance des données sur la migration afin d’assurer une responsabilité, une transparence et une efficacité continues concernant l’utilisation et le partage de ces données (OIM, 2017). 

● L’OIM traite les données à caractère personnel des bénéficiaires conformément au Manuel de protection des données de l’OIM, qui développe la mise en œuvre pratique des principes de l’Organisation en matière de protection des données. Ces documents, ainsi que d’autres outils complémentaires, guident le travail du personnel de l’OIM relatif au traitement des données personnelles des migrants. L’objectif principal de ces documents est de protéger le droit à la vie privée des bénéficiaires lors du traitement des données à caractère personnel. 

Haut-Commissariat des Nations Unies pour les réfugiés (HCR) 

• La politique relative à la protection des données des personnes relevant de la compétence du HCR définit les règles et principes relatifs à la manière dont le HCR traite les données à caractère personnel des réfugiés, des demandeurs d’asile et des autres personnes relevant de sa compétence. Son objectif est de garantir que le traitement des données à caractère personnel par le HCR soit conforme aux Principes directeurs de l’Assemblée générale des Nations Unies pour la réglementation des fichiers personnels informatisés de 1990 et aux autres instruments internationaux pertinents.  

Programme alimentaire mondial (PAM) 

• Le guide du PAM sur la protection des données à caractère personnel et la confidentialité (WFP Guide to Personal Data Protection and Privacy) a été publié en 2016 et énumère les principes fondamentaux et les normes opérationnelles pour la protection des données à caractère personnel des bénéficiaires dans le cadre des programmes du PAM. Ce guide part du principe que la protection des données à caractère personnel est un élément fondamental du devoir de diligence du PAM envers les bénéficiaires réels et potentiels. Il a été mis au point pour tous les membres du personnel du PAM qui participent au traitement des données. 

Comité international de la Croix-Rouge (CICR) 

• Les Règles du CICR en matière de protection des données personnelles ont été adoptées en 2015. Elles visent à protéger les données à caractère personnel des individus, en particulier dans le contexte des conflits armés et des urgences humanitaires, et partent du principe qu’elles constituent un élément essentiel de la protection de la vie, de la dignité et du bien-être physique et mental des personnes. Les Règles s’appliquent à toutes les activités et opérations du CICR, pour les bénéficiaires, le personnel, les donateurs et les partenaires. Ce document a fait l’objet d’une révision en 2019 en raison des évolutions réglementaires, sociales et technologiques dans le domaine de la protection des données. 

Organisation de coopération et de développement économiques (OCDE) 

• Les lignes directrices de l’OCDE régissent la protection de la vie privée et les flux transfrontaliers de données à caractère personnel, y compris celles des migrants. Adoptées en 1980, elles partent du principe que les utilisations étendues et novatrices des données à caractère personnel peuvent apporter de plus grands avantages économiques et sociaux, mais augmentent également les risques pour la vie privée, ce qui justifie des orientations générales concernant la collecte et la gestion des informations personnelles. L’OCDE a révisé ses lignes directrices en 2013 sur la base de ses Principes de protection des données pour le 21e siècle (Data Protection Principles for the 21st Century), dans lesquels l’Organisation prend acte des pièges potentiels du paradigme des mégadonnées et de la protection de la confidentialité des informations. Les lignes directrices remettent notamment en question les exigences de « notification et de consentement » autrefois efficaces. Elles tiennent également compte du fait que le champ d’application à cet égard est très étroit et que, par conséquent, les responsables du traitement des données disposent d’une plus grande marge de manœuvre, ce qui pourrait conduire à une utilisation abusive des informations. 

Groupe de la Banque Mondiale 

• La politique de confidentialité des données du Groupe de la Banque mondiale (The World Bank Group’s Personal Data Privacy Policy) énonce sept principes conformes aux normes internationales relatives à la protection des données et régit le traitement des données à caractère personnel par ses 5 institutions. 

Initiatives en matière de protection des données au niveau international 

• Les Nations Unies ont lancé l’initiative Global Pulse en 2009 pour examiner minutieusement comment les données, associées à la technologie d’analyse en temps réel, peuvent permettre de mieux comprendre, par exemple, les vulnérabilités et les inégalités associées à la mobilité humaine. Comme cela est déjà communément admis, la protection de la vie privée est une condition difficile et pourtant importante pour les données sensibles. L’initiative Global Pulse a donc élaboré un ensemble de principes de confidentialité que les responsables du traitement des données doivent respecter. Elle a également créé un groupe consultatif sur la confidentialité des données, qui servira de plateforme pour discuter des questions essentielles liées à la confidentialité, à la sécurité des informations et à la protection des données. 

● Le projet de protection des données dans l’action humanitaire (Data Protection in Humanitarian Action project), géré par le Centre de Confidentialité de Bruxelles   et le Comité international de la Croix-Rouge (CICR), explore la relation entre le droit de la protection des données et l’action humanitaire. Il identifie également les préoccupations liées à la vie privée et à la sécurité des personnes concernées et propose des solutions sous forme d’orientations ou de politiques. La réalisation la plus récente du projet est le Manuel sur la protection des données dans l’action humanitaire.  

● L’Université Vrije  de Bruxelles et l’Université de Namur et de Tilburg ont créé en 2004 la plateforme à but non lucratif Computers, Privacy and Data Protection (CPDP). Cette conférence annuelle rassemble des universitaires, des juristes, des responsables politiques, des praticiens, des fonctionnaires nationaux et internationaux du monde entier avec l’objectif d’échanger des idées et de discuter des dernières questions émergentes liées à la vie privée et à la protection des données.  

● International Data Privacy Law (IDPL) est une revue à comité de lecture qui publie des articles érudits sur divers thèmes transversaux liés à la protection des données et à la vie privée. Ce journal a une portée mondiale.  

Forces et limites des données 

La protection des données suscite un intérêt croissant au niveau international. Avec le développement et l’utilisation des nouvelles technologies, la collecte et le traitement des données deviennent plus faciles et plus rapides, ce qui soulève également des questions relatives au droit à la vie privée et à la protection des données à caractère personnel.  

Ces dernières années, plus de 100 lois sur la protection des données ont été adoptées au niveau national et régional. La majorité des pays, y compris certains États Membres de l’UE, ont une législation fragmentée en matière de protection des données au niveau national (Clarke, 2011 ; Rudgard, 2011). Les organisations internationales et intergouvernementales ont également cherché à mettre en place des cadres relatifs à la protection des données, qui sont de plus en plus harmonisés.  

La collecte de données est importante pour identifier les schémas et tendances en matière de migration et fournir une aide humanitaire à ceux qui en ont besoin. Néanmoins, la nécessité de défendre et protéger le droit à la vie privée des migrants ne peut être négligée dans ce processus. Des garanties et outils relatifs à la protection des données doivent être mis en place pour protéger le droit des personnes à la vie privée. 

En raison de l’importance croissante des données novatrices sur la migration, associée aux mesures visant à améliorer la qualité et la fréquence des données pour atteindre les objectifs de développement durable (ODD) relatifs à la migration, la protection des données est devenue une priorité absolue. Les données sur la migration ont le potentiel de fournir des données en temps réel sur des questions d’actualité afin d’améliorer le processus décisionnel de haut niveau et de permettre des interventions plus appropriées. 

Les organisations internationales et les États participant à la collecte et au traitement des données sur la migration doivent mettre en place des outils de protection efficaces et appropriés pour garantir la confidentialité et la sécurité des personnes concernées dans l’espace numérique. L’OIM a mis au point sa propre politique interne de protection des données pour traiter les données à caractère personnel de millions de bénéficiaires afin de remplir son mandat (Manuel de protection des données de l’OIM, 2010). 

Cependant, la protection des données à caractère personnel n’est pas appliquée uniformément dans le monde ; cette politique donne donc lieu à des divergences en termes d’application. Une mise en œuvre incohérente des instruments juridiques relatifs à la protection des données à caractère personnel peut jouer en faveur des auteurs d’infractions et mettre en péril la vie privée d’une personne concernée. En outre, il convient de constituer une base de données factuelles sur la protection des données à caractère personnel dans l’espace numérique afin de mettre en œuvre efficacement les instruments juridiques relatifs à la protection de ces données.