PROTECTION DES DONNEES ET TRANSPARENCE DANS LES ASSURANCES SOCIALES

Transcription

1 PAUDEX, LE 4 NOVEMBRRE 2014 PROTECTION DES DONNEES ET TRANSPARENCE DANS LES ASSURANCES SOCIALES Sébastien FANTI Avocat et Notaire Élu au poste de Préposé à la protection des données et à la transparence sebastien.fanti@sebastienfanti.ch Argentina Belgium Brazil I Canada China I Colombia I France Germany Greece Israel Italy Lebanon I Luxembourg Mexico Norway Portugal South Africa Spain Switzerland Tunisia United Kingdom USA

2 SOMMAIRE: Prolègomènes Le nouveau numéro AVS Le certificat de prévoyance (ATFA ) Vidéosurveillance Privacy by Design et by Default Analyse d impact Evolutions futures ehealth (Cybersanté) Transparence Conclusions Page 2

3 Prolégomènes: Page 3

4 Le nouveau numéro AVS source OFAS: Le numéro AVS est anonyme est il est attribué à vie. Page 4

5 Le nouveau numéro AVS Le traceur universel? Communication du numéro AVS à des sociétés de gestion (PRO LITTERIS) Page 5

6 Le certificat LPP ATFA du 10 avril 2012 Le Préposé fédéral a appris que la Fondation de prévoyance professionnelle X transmettait les certificats de prévoyance par le biais de l employeur avec la seule mention «confidentielle». Il a émis une recommandation contre la Fondation X qui a refusé de se soumettre. Le DFI a donc été amené à rendre une décision qui fut contraire à celle du Préposé, lequel a recouru devant le TAF. Le recours a été admis. Si la Fondation souhaite transmettre les certificats par le biais de l employeur elle doit prendre les mesures nécessaires par exemple en utilisant des enveloppes individuelles fermées. Page 6

7 Vidéosurveillance détective privé Dans un arrêt du 11 novembre 2011, le Tribunal fédéral s est exprimé sur un cas concret, dans lequel un détective privé a effectué des enregistrements vidéos d une rentière AI sur son balcon. À l inverse du Tribunal cantonal de Saint-Gall, le TF est arrivé à la conclusion que les enregistrements étaient légaux. Il a soutenu l intérêt public de la manœuvre et a estimé que l intrusion dans la sphère privée était «mineure» du fait que la personne a été filmée depuis le domaine public. Page 7

8 Vidéosurveillance surveillance au volant Dans un arrêt du 24 juin 2014, le Tribunal cantonal valaisan a considéré comme légal le fait pour un automobiliste de filmer celui qui le suivait durant plusieurs minutes et a accepté ce moyen de preuve pour prononcer un retrait de permis de conduire. Cet arrêt ouvre la voie à la possibilité de suivre les assurés en voiture sur la voie publique pour vérifier notamment leurs capacités. Page 8

9 Privacy by Design et Privacy by Default Privacy by Design: chaque nouvelle technologie traitant des données personnelles ou permettant d en traiter doit garantir dès sa conception et lors de chaque utilisation, même si elle n as pas été prévue à l origine, le plus haut niveau possible de protection des données. Ann Cavoukian Privacy by Default: grâce à la protection de la vie privée par défaut, quiconque traite de données personnelles doit permettre aux personnes concernées d obtenir rapidement et facilement le plus haut niveau de protection possible. Viviane Reding Page 9

10 Preliminary remarks and definitions The 7 Foundational Principles of Privacy by Design: - Proactive not Reactive; Preventive not Remedial - Privacy as the Default Setting - Privacy Embedded into Design - Full Functionality Positive-Sum, not Zero-Sum - End-to-End Security Full Lifecycle Protection - Visibility and Transparency Keep it Open - Respect for User Privacy Keep it User-Centric Operationalizing Privacy by Design: A Guide to Implementing Strong Privacy Practices, Ann Cavoukian, Ph.D., Information and Privacy Commissioner, Ontario, Canada, December 2012, p. 8 Page 10

11 L exemple du Blackphone: Page 11

12 L exemple du Blackphone: Spider Oak: Online File Sharing & Secure Cloud Backup strongly recommanded by Edward Snowden Our smartphone won t make you NSA-proof, but it s a good start Phil Zimmerman Page 12

13 L exemple du Blackphone Feature Android Default PrivateOS Enhancement Search Trackable Anonymous Bundled Apps Wi-Fi usage Many, with privacy disabled by default Always on for geolocalisation and user tracking Few, and all privacy-enabled Smart disabling of all Wi-Fi except trusted hotspots App permissions All-or-nothing Fine-grained control in a single interface Communications tools Updates Remote Wipe & Anti Theft Traceable dialer, SMS, MMS, browser. Vulnerable to spoofed cell networks and wi-fi Supplied infrequently after carrier blessing Requires use of centralized cloud account Private calls, texting, video chat, file exchange up to 100 MB, browsing, and conference calls Frequent secure updates from Blackphone directly Anonymous Source: ars technica: Business Model Personal data mining for tracking and marketing Page 13 Delivering privacy as a premium, valued feature

14 L exemple du Blackphone: Nothing is perfect! I have read this article and I m very surprised. I have bought this phone because it was a secured phone. If not, I think you should give the money back! I would be happy to have a feed-back quickly. August 12, 2014 / 08:00 PM Page 14

15 L approche helvétique; Aucune règle légale explicite ne se réfère à ces deux principes dans la LPD du 19 juin Le Préposé fédéral a pris part à la 32ème Conférence internationale des autorités à Jérusalem, au terme de laquelle il a été conseillé aux Etats d adopter ces principes dans leur législation. La nécessité de révision de notre loi qui date de 1992 fait l objet d une évaluation par une deuxième commission d expert. Page 15

16 L exemple du Blackphone : Nothing is perfect! Thanks for contacting us and I understand your concern. I think the links in ustomer/portal/questions/ blackphone-rooted-in-5mn will address your concerns. Please let me know if you have any more questions. August 13, 2014 / 01:44 AM Page 16

17 The Swiss Privacy by Design and by Default approach Chaque société suisse qui traite des données de citoyens européens ou reçoit de telles données de l un des pays membres devrait respecter les normes de l UE et les normes de tous les pays membres. Art. 23 of the future European regulation: Data protection by design and by default Page 17

18 Le pragmatisme à la sauce helvétique! Page 18

19 L approche helvétique du PbD et du PbDefault La Suisse ne peut pas s offrir le luxe de demeurer hors du processus législatif fondamental ayant cours dans l UE, lequel va impacter un grand nombre de sociétés dans notre pays. D ordinaire nous adoptons les normes européennes avec un décalage de quelques années. Même si les règles ne changent pas en Suisse immédiatement, la plupart des société exerçant une activité à l étranger devront se conformer immédiatement à la Directive UE A défaut, les sanctions pourraient s avérer lourdes Page 19

20 Futurs développements: Deux postulats sont encore pendants devant le Parlement suisse en vue de l introduction dans la Loi fédérale sur la protection des données du 19 juin 1992 des principes de Privacy by Design et Privacy by Default (postulats Schwaab). Le Conseil fédéral est d avis d accepter ces postulats. Notre législation devrait en conséquence être amendée dans quelques années! Page 20

21 Evolutions futures: ehealth (Cybersanté) Source: Withings.com Les objets connectés vont générer une collecte de données consentie sans commune mesure avec tout ce qui est advenu jusqu ici. - Consentement éclairé? - Conditions de révocation? - Page 21

22 Evolutions futures: ehealth (Cybersanté) Page 22

23 Evolutions futures: ehealth (Cybersanté) En France, des mutuelles ont déjà signé des accords avec Apple pour l achat de ces données. Page 23

24 Evolutions futures: ehealth (Cybersanté) L iwatch sera le premier vrai «gadget» d Apple destiné prioritairement à collecter des données médicales. Page 24

25 Transparence en matière d assurances sociales? Dans le cadre de la participation à une étude relative à un futur vaccin, vous signez un document qui vous garantit l anonymat. Une fois l étude publiée, un autre chercheur, mettant en doute ses résultats, sollicite d avoir accès à la recherche intégrale. En a-t-il le droit? Page 25

26 Conclusions Vos données sont un patrimoine au même titre que vos avoirs à la banque ou votre santé. Celui qui omet d en prendre soin est assuré qu elles seront un jour utilisées pour l inciter à un choix ou l astreindre à un choix, sans qu il n en ait même conscience. La modélisation prédictive est déjà capable de savoir, sur la base de vos données actuelles, dans 90% des cas quel serait votre choix. Page 26

27 Conclusions En matière de protection des données, il existe en sus du site du Préposé fédéral ( un site qui référence toutes les décisions cantonales: atenschutz Page 27

28 Merci pour votre attention Follow me on: Twitter Facebook: Linkedin: Argentina Belgium Brazil I Canada China I Colombia I France Germany Greece Israel Italy Lebanon I Luxembourg Mexico Norway Portugal South Africa Spain Switzerland Tunisia United Kingdom USA