Les agences gouvernementales, les contractants et les sous-traitants ont des obligations spécifiques en matière de protection des informations personnelles.

Au cours des dernières décennies, les progrès technologiques ont entraîné une prolifération des informations collectées, stockées et partagées sur les individus. Parallèlement, la collecte, l'agrégation et l'utilisation par le gouvernement américain d'informations personnelles concernant les citoyens et d'autres personnes suscitent de plus en plus d'inquiétudes. Non seulement les individus s'inquiètent du traitement de ces informations par le gouvernement, mais la montée en puissance des pirates informatiques et des moyens d'exploiter les informations personnelles volées a également suscité de vives inquiétudes.

En ce qui concerne ces informations personnelles, le gouvernement américain a le devoir, au mieux, de servir ses citoyens, au pire, de ne pas leur nuire intentionnellement ou par inadvertance en raison de mauvaises pratiques en matière de sécurité de l'information. Il en va de même pour les entreprises publiques auxquelles il doit faire appel lorsqu'il partage ces données.

Le règlement

Des réglementations spécifiques ont été mises en place pour protéger ces informations personnelles. Le Privacy Act de 1974 stipule les obligations du gouvernement américain, de ses agences et de ses sous-traitants en ce qui concerne la collecte, l'agrégation et l'utilisation correctes des informations personnelles au service des citoyens américains. Cette loi va de pair avec des ajouts au Federal Acquisition Regulation (FAR) qui régissent les contractants et les sous-traitants du gouvernement américain ; elle fixe des conditions spécifiques pour que ces parties puissent collecter, travailler et partager des informations personnelles dans le cadre d'un contrat gouvernemental.

Les informations personnelles et leurs risques

En vertu de la réglementation, les informations personnelles peuvent concerner un large éventail de données, par exemple le nom, l'adresse électronique, le numéro de sécurité sociale, les données démographiques raciales et les informations financières d'une personne. Ces informations peuvent faire l'objet d'un usage abusif de deux manières principales :

• Une agence gouvernementale peut potentiellement l'utiliser pour priver un individu de ses droits, tels que la liberté d'expression.
• Un pirate informatique malveillant peut voler l'identité d'une personne, généralement pour lui soutirer de l'argent.

Collecte et utilisation

Pour ces raisons, les informations personnelles doivent être soumises à un contrôle. Elles devraient :

• Ne sont collectés qu'à des fins appropriées et spécifiques
• n'être conservés que pendant la durée nécessaire à la réalisation de l'objectif de leur collecte
• n'être divulguées ou partagées qu'avec d'autres personnes autorisées à les recevoir, en vertu de la loi ou d'un contrat
• être toujours protégés contre une divulgation accidentelle ou intentionnelle

En outre, le gouvernement ne devrait pas tenter d'agréger des données personnelles qui ne sont pas destinées à servir l'individu ; en d'autres termes, des bases de données secrètes ne devraient pas être développées pour suivre les individus.

Ces règles traitent également des exigences relatives au traitement des informations personnelles lorsque la technologie qui conserve ces informations peut être compromise ou que les données risquent d'être divulguées, que ce soit par inadvertance, intentionnellement ou à la suite d'un vol.

Comme indiqué, non seulement les agences gouvernementales sont soumises à ces règles, mais les contractants et les sous-traitants qui les servent doivent également adhérer à des mesures de protection des données à caractère personnel appropriées. En règle générale, les contractants et les sous-traitants doivent mettre en place un programme de protection des données à caractère personnel, comprenant une politique et des procédures pour la collecte, la maintenance, la divulgation et le partage appropriés, entre autres éléments.

L'élément central de ce programme est de s'assurer que tous les employés qui travaillent avec des données personnelles dans le cadre d'un contrat avec le gouvernement connaissent les règles, comprennent le protocole de traitement approprié et sont informés de la marche à suivre en cas de risques pour les données.

Ces employés doivent posséder ces compétences :

• Les risques que les progrès technologiques font peser sur les informations personnelles
• Quelles sont les données qui doivent être protégées en vertu des lois et des contrats gouvernementaux ?
• Comment collecter, utiliser et sécuriser correctement ces données ?
• Quand est-il permis de divulguer ou de partager les données avec d'autres personnes ?
• Quand savoir et que faire si la technologie sur laquelle ces données résident subit un incident susceptible de compromettre sa sécurité
• Quand savoir et que faire si les données peuvent être vulnérables à un accès et à une divulgation involontaires ou inappropriés ?

En cas d'utilisation et de divulgation inappropriées de ces données, les entrepreneurs publics peuvent être lourdement sanctionnés, notamment par la suspension ou l'exclusion des contrats publics.

Les informations personnelles des citoyens ne sont pas des secrets nucléaires, des techniques de cryptage avancées ou des technologies de missiles qu'il faut protéger à tout prix. Il s'agit néanmoins de données dont la protection revêt une grande importance pour les personnes auxquelles elles se rapportent. Et ceux qui travaillent avec ces données doivent respecter des normes élevées pour les protéger.

Syntrio propose des formations sur le harcèlement et autres questions de conformité depuis plus de vingt ans et est le leader du secteur.. Notre approche innovante vise à s'assurer que les employeurs apprennent non seulement comment éviter la responsabilité, mais aussi une méthode de traitement des autres à l'intérieur et à l'extérieur du travail qui contribuera grandement à améliorer les relations et à atténuer le stress lié à l'irrespect et à l'intimidation sur le lieu de travail. D'après nos recherches, cette méthode a un impact bien plus important que le respect des lois sur la formation des États et des municipalités, qui exigent une formation sur les concepts les plus élémentaires. Nous nous réjouissons de nous entretenir bientôt avec un membre de votre organisation pour vous montrer comment nous pouvons améliorer votre culture, un employé à la fois.