Mélanie RAPHAËL
Responsable de la MiNumEco
Experte Numérique Écoresponsable – DINUM

Bonjour à toutes et tous. Dans cette nouvelle saison de Paroles d’experts de la MiNumEco, explorons comment mettre en œuvre un numérique plus responsable dans nos administrations.

Dans chaque ministère, le traitement des données personnelles est omniprésent et particulièrement important. C’est d’autant plus vrai dans la sphère de la sécurité sociale.

Nous allons écouter Eve Jullien, déléguée à la protection des données à la Direction de la Sécurité sociale, nous expliquer ses missions.

Eve JULLIEN
Déléguée à la protection des données (DPD / DPO)
Direction de la Sécurité sociale

Dans les grandes structures, on doit désigner un DPD ou DPO – c’est la même chose, mais l’un est l’acronyme français et l’autre anglais. DPO signifie Data Protection Officer et DPD signifie délégué à la protection des données. On utilise généralement l’un ou l’autre de manière interchangeable.

Dans la plupart des cas, il s’agit d’une seule personne. Dans les structures les plus importantes, il peut y avoir un adjoint.

Le rôle du DPD est défini par le RGPD. Son objectif est d’informer et de conseiller les personnes qui mettent en œuvre les traitements de données. Il y a donc un rôle d’appui et de conseil au quotidien.

Le DPD exerce également une mission de vérification et de contrôle de la bonne application du RGPD.

Il est aussi l’interlocuteur privilégié de l’autorité de contrôle, en France la CNIL. En cas de difficulté, par exemple une fuite ou une divulgation de données, c’est lui qui est en première ligne pour dialoguer avec cette autorité.

Les données personnelles sont à la fois précieuses et sensibles. Elles permettent de mieux concevoir les politiques publiques et les services aux usagers, mais leur utilisation doit être strictement encadrée pour concilier efficacité et respect des droits fondamentaux.

À la Direction de la Sécurité sociale, lorsque nous réfléchissons par exemple à la mise en place d’une nouvelle prestation ou d’un nouveau droit pour les assurés, nous avons besoin de données personnelles pour dimensionner le projet en amont et ensuite vérifier que nous avons bien atteint la population cible.

Si un dispositif vise à soutenir des personnes ayant besoin de compléments de revenus, il est essentiel d’identifier correctement les publics les plus vulnérables.

Le RGPD permet justement de trouver un équilibre entre la protection des données et leur utilisation pour l’action publique.

Il repose sur plusieurs principes. L’un des principaux est le principe de minimisation : on ne doit collecter et traiter que les données strictement nécessaires à l’objectif poursuivi.

Les données personnelles couvrent un périmètre très large. Il peut s’agir de données directement identifiantes, comme un nom ou une date de naissance, mais aussi de données indirectement identifiantes qui permettent de remonter à une personne.

Certaines données peuvent sembler anodines mais permettre, lorsqu’elles sont croisées avec d’autres informations, d’identifier un individu.

Au-delà des aspects juridiques, la gestion des données personnelles soulève aussi d’autres enjeux : environnement, souveraineté numérique ou encore responsabilité des acteurs impliqués dans leur traitement.

La question de l’impact environnemental est par exemple liée aux enjeux d’hébergement des données et à leur localisation.

Le RGPD prévoit que les données doivent être hébergées dans l’Union européenne ou dans des pays offrant un niveau de protection équivalent.

Se posent également des questions de responsabilité : qui est réellement responsable des données lorsque plusieurs prestataires interviennent dans leur traitement ?

Ces sujets sont pris en compte à travers différents outils du RGPD, comme le registre des traitements, qui constitue une sorte de carte d’identité des traitements de données réalisés par une organisation.

Selon la nature des traitements, une analyse d’impact peut également être réalisée afin d’évaluer plus précisément les risques.

Ces démarches permettent de documenter l’ensemble du cycle de vie des données : qui y a accès, où elles sont stockées, combien de temps elles sont conservées et comment elles sont supprimées ou archivées.

Les enjeux environnementaux commencent également à être progressivement intégrés dans ces réflexions.

Ces questions doivent être prises en compte le plus en amont possible dans les projets numériques. Cela permet de mieux dimensionner les projets et de réduire les risques juridiques.

Surtout, cela permet de préserver la confiance du public.

Penser aux enjeux du RGPD dès la conception d’un projet numérique, c’est réduire les risques, préserver la confiance des usagers et renforcer le sens de l’action publique.

Les données ne sont pas seulement un outil : elles sont au cœur de la relation entre les institutions et les citoyens.

Mélanie RAPHAËL
Responsable de la MiNumEco
Experte Numérique Écoresponsable – DINUM

Agents publics, pour améliorer vos pratiques, retrouvez toutes les ressources disponibles sur ecoresponsable.numerique.gouv.fr.