2.3 Protection des données dans le cadre de la réinstallation

Traitement des données pour la réinstallation

La réinstallation repose sur le traitement des données à caractère personnel des réfugiés. Ces données personnelles sont collectées et traitées dans le but dʼévaluer lʼéligibilité et lʼaptitude dʼune personne à la réinstallation, et de faciliter le départ et lʼaccueil dans le pays de réinstallation. Le traitement des données à caractère personnel dans le cadre du processus de réinstallation comprend :

• Le traitement de données déjà i) collectées directement par le HCR (par exemple lors de lʼenregistrement), ii) reçues de partenaires (par exemple des informations sur la protection) ou iii) générées par le HCR (par exemple les évaluations de la DSR).
• La collecte et la vérification des données par le biais dʼun entretien de réinstallation.
• Le partage de données avec des tiers impliqués dans le processus de réinstallation (par exemple, le partage dʼune demande de réinstallation auprès d’un pays de réinstallation).
• Collaboration et suivi des dossiers entre collègues ou partenaires du HCR, ou avec un pays de réinstallation.

La protection des données, une responsabilité à lʼégard des réfugiés  

Comme nous tous, les réfugiés vivent dans un monde de plus en plus axé sur les données et interconnecté, dans lequel les données personnelles sont constamment collectées, stockées et partagées, notamment chaque fois que nous utilisons un appareil numérique ou que nous accédons à un service numérique. Pourtant, les principes et la terminologie de la protection des données peuvent sembler complexes et difficiles à appréhender, et les gens ne comprennent souvent pas leurs propres droits en tant que personnes concernées ou ignorent comment les exercer.  

L’entretien de réinstallation est l’une des principales opportunités pour le HCR dʼinformer les réfugiés de manière accessible sur le traitement de leurs données, sur leur droit à la protection à cet égard et sur la manière dont ils peuvent exercer leurs droits en tant que personnes concernées afin dʼagir sur le traitement. La fourniture de ces informations fait partie de lʼengagement du HCR à garantir la redevabilité à l’égard des populations touchées et constitue une exigence en vertu du cadre de protection des données personnelles et de la vie privée du HCR. Les bureaux doivent donc veiller à ce que les responsables de dossiers soient en mesure dʼexpliquer aux réfugiés comment leurs données seront utilisées et partagées tout au long du processus de réinstallation, conformément au cadre de protection des données personnelles et de la vie privée du HCR.

Principes clés de la protection des données et de la vie privée dans le cadre de la réinstallation

La GDPP énonce neuf principes de protection des données et de la vie privée que le HCR est tenu de respecter lorsquʼil traite des données à caractère personnel : traitement équitable et légitime, spécification de lʼobjectif, proportionnalité et nécessité, limitation de la conservation, exactitude, confidentialité, sécurité, transparence et redevabilité. La section suivante se concentre sur sept de ces principes. Des orientations spécifiques sur les principes restants (redevabilité et limitation de la conservation) viendront prochainement dans le contexte de la réinstallation.

Le principe du traitement équitable et légitime  

Ce principe exige que le HCR traite les données à caractère personnel de manière équitable et uniquement sur la base dʼun ou de plusieurs des fondements légitimes énoncés au §18 de la GDPP. 

In the resettlement context

Dans le contexte de la réinstallation – Outre la fourniture dʼune protection internationale, la fonction consistant à faciliter des solutions durables pour les réfugiés est au cœur du mandat du HCR. Ainsi, pour autant que le traitement des données à caractère personnel soit justifié aux fins de la réinstallation, le HCR peut toujours sʼappuyer sur la base légitime visée au paragraphe 18 de la GDPP, à savoir que « le traitement est nécessaire à lʼaccomplissement du mandat du HCR ou le rend possible dʼune autre manière … ». Lorsquʼil sʼagit de conseiller des réfugiés, une explication détaillée du concept de « base légitime » peut se révéler d’une utilité limitée (à moins que cela ne soit demandé ou approprié), alors quʼil serait plus instructif de démontrer i) que la collecte et le traitement des données à caractère personnel – y compris les données relatives à l’identité et les informations sur la demande dʼasile et le besoin de réinstallation – sont nécessaires au processus de réinstallation dans le cadre du mandat du HCR, et ii) que le HCR est tenu de traiter ces données à caractère personnel aux fins de réinstallation de manière équitable. Lʼexigence de loyauté signifie que les données à caractère personnel ne peuvent être obtenues et utilisées que dʼune manière à laquelle la personne concernée sʼattendrait raisonnablement, et que les données ne doivent pas être utilisées dʼune manière qui pourrait avoir un effet défavorable ou discriminatoire injustifié.

Le principe de la spécification de lʼobjectif

La spécification de lʼobjectif est le principe selon lequel les données à caractère personnel ne doivent être traitées quʼà des fins spécifiées compatibles avec le mandat et les fonctions du HCR. Cela signifie également que le traitement ultérieur doit être compatible avec le ou les objectifs premiers pour lesquelles les données ont été collectées à lʼorigine. Le §20 de la GDPP comprend une liste d’objectifs de traitement ultérieur qui sont toujours considérés comme compatibles avec le mandat du HCR, parmi lesquels : « lorsque [le traitement] est nécessaire pour assurer une protection et une assistance à long terme et pour rechercher des solutions… ».

Dans le contexte de la réinstallation

Lorsquʼil traite des dossiers de réinstallation, le HCR doit souvent utiliser les données à caractère personnel qui ont été collectées avant que la réinstallation ne soit envisagée, par exemple au cours des activités dʼenregistrement, lors de la détermination du statut de réfugié ou encore dans le cadre de la fourniture dʼune protection et dʼune assistance par les partenaires du HCR. Même sʼil nʼa pas été précisé, au moment de la collecte, que la réinstallation pouvait être lʼun des objectifs pour lesquelles les données à caractère personnel dʼune personne peuvent être traitées ultérieurement, il ressort du §20 de la GDPP que le traitement des dossiers en vue dʼune réinstallation est un « objectif compatible ». Cela dit, les réfugiés dont la réinstallation est envisagée doivent toujours être informés de l’objectif de lʼutilisation de leurs données afin quʼils puissent exercer leur « droit dʼopposition » sʼils le souhaitent.

Le principe de proportionnalité et de nécessité (minimisation des données)  

Ce principe est lié au principe de spécification de lʼobjectif et signifie que la quantité de données à caractère personnel collectées et partagées doit être adéquate, pertinente et limitée à ce qui est nécessaire au regard de la finalité identifiée, et ne pas dépasser cette finalité.

Dans le contexte de la réinstallation 

 Le Formulaire dʼenregistrement en vue de la réinstallation doit contenir suffisamment dʼinformations pour permettre aux pays d’évaluer lʼéligibilité et lʼadmissibilité de chaque membre du dossier à la réinstallation. Il ne doit pas contenir de données inutiles ou disproportionnées par rapport au type ou à la quantité dʼinformations requises par les autorités du pays dʼaccueil à cette fin. Par exemple, des données personnelles détaillées concernant dʼautres personnes ne figurant pas dans le dossier de réinstallation seraient normalement inutiles et disproportionnées, comme le fait dʼinclure dans la section « Parents » le numéro de téléphone et lʼadresse exacte de parents résidant dans un pays de réinstallation.

Dʼune manière générale, il convient également de rappeler, en vertu de ce principe, que les données à caractère personnel considérées comme nécessaires et proportionnées pour être soumises par le HCR aux autorités du pays peuvent ne pas être nécessaires et proportionnées aux fins dʼun partage ultérieur à des fins de voyage et dʼinstallation. Dans la mesure où le Formulaire dʼenregistrement en vue de la réinstallation est principalement conçu pour documenter les besoins de réinstallation et lʼéligibilité à la protection internationale, et pour permettre à lʼÉtat de statuer sur le dossier, le HCR décourage les pays de réinstallation de partager le Formulaire dʼenregistrement en vue de la réinstallation avec lʼOIM, les prestataires de services dʼinstallation et les autorités municipales, sans que lʼautorité compétente du pays ne lʼait expurgé de manière appropriée. Le HCR encourage plutôt les pays à utiliser le Formulaire dʼinformation sur lʼorientation et lʼaccueil préalable au départ, qui est conçu pour limiter le partage ultérieur des données personnelles, tout en fournissant des informations adéquates à des tiers à des fins spécifiques à leurs rôles et responsabilités respectifs. Il convient également de noter quʼun accord de partage des données avec le pays de réinstallation doit établir les conditions de divulgation des données à caractère personnel à des tiers et à la personne concernée (voir les accords de partage des données à des fins de réinstallation ci-dessous).

Le principe dʼexactitude

Le principe dʼexactitude exige que le HCR prenne toutes les mesures raisonnables pour sʼassurer que les données à caractère personnel sont exactes et actualisées afin de répondre aux objectifs pour lesquels elles sont traitées. À cette fin, les agents doivent examiner, vérifier et mettre à jour les données à caractère personnel pendant toute la durée de traitement des dossiers. 

Il convient de ne pas confondre ce principe avec le devoir général des personnes relevant de la compétence du HCR de coopérer avec ce dernier en fournissant des informations véridiques et complètes lorsquʼelles cherchent à bénéficier dʼinterventions de protection, dʼassistance ou de solutions durables. Toutefois, le principe dʼexactitude et lʼobligation de coopérer avec le HCR fonctionnent en tandem. Au cours de lʼorientation, le HCR doit informer les personnes de leur devoir dʼaider le HCR à enregistrer leurs données personnelles de manière exacte et complète, au mieux de leurs connaissances, et dʼaider le HCR à corriger et/ou à mettre à jour les données ultérieurement, au fil du temps.

Dans le contexte de la réinstallation

L’agent travaille avec les personnes au cours de leur entretien de réinstallation pour identifier et résoudre les incohérences et les erreurs dans leurs données personnelles dans proGres, et enregistrer dûment les corrections et les circonstances dans lesquelles elles ont été faites. Les agents rédigent également le résumé de la demande dʼasile dans la section 4 du Formulaire dʼenregistrement en vue de la réinstallation de manière à refléter fidèlement les faits établis de la demande. Pour garantir lʼexactitude de la collecte des données lors de lʼentretien de réinstallation, il est fortement conseillé aux agents chargés de cas de relire à la personne concernée les principales informations enregistrées lors de lʼentretien. Le demandeur doit ensuite signer une déclaration (section 8 du Formulaire dʼenregistrement en vue de la réinstallation) pour affirmer que les informations quʼil a fournies sont correctes, complètes et véridiques à sa connaissance.

Le principe de confidentialité

Le principe de confidentialité exige que le HCR traite les données à caractère personnel « en tenant dûment compte de la confidentialité, conformément aux règlements, règles, politiques, instructions administratives et autres instruments pertinents établis ou adoptés par le HCR ou les Nations Unies » (§25 de la GDPP). Il convient de noter en particulier l’article 1.2.i) du Statut et règlement du personnel de l’Organisation des Nations Unies, qui stipule que les membres du personnel « ne communiquent à aucun gouvernement, entité, personne ou autre source des informations dont ils ont connaissance du fait de leur position officielle et dont ils savent ou devraient savoir quʼelles nʼont pas été rendues publiques, sauf dans le cadre normal de leurs fonctions ou avec lʼautorisation du Secrétaire général ». En outre, le principe 6 du Code de conduitedu HCR explique que « la divulgation dʼinformations sensibles ou confidentielles sans autorisation peut gravement compromettre lʼefficacité et la crédibilité du HCR et de son personnel et mettre en danger les bénéficiaires ».

Tout partage de données à caractère personnel en dehors du HCR avec des tiers doit être conforme non seulement au principe de confidentialité, mais aussi à tous les autres principes de protection des données et de la vie privée énoncés dans la GDPP. Le tiers doit assurer un niveau de protection adéquat des données à caractère personnel partagées, conformément aux principes de protection des données et de la vie privée.

Dans le contexte de la réinstallation

 Le respect de la confidentialité des données personnelles traitées dans le cadre de la réinstallation est essentiel pour créer un environnement de sécurité et de confiance pour les réfugiés, et pour maintenir lʼintégrité des procédures de réinstallation. Le devoir de confidentialité de tous les collègues qui ont accès aux données personnelles, y compris les agents chargés des dossiers et les interprètes, doit être clairement compris et renforcé par le biais de la formation, des mises à jour du Code de conduite et des POS. Les collègues du HCR doivent veiller à ne pas évoquer entre eux de cas individuels dʼune manière qui pourrait permettre dʼidentifier les personnes concernées, à moins que cela ne soit nécessaire. Les données à caractère personnel doivent être stockées de manière à nʼêtre accessibles quʼau personnel autorisé, selon le principe du « besoin dʼen connaître », et à nʼêtre transférées que par des canaux de communication protégés (voir Le principe de sécurité ci-après et 2.5 Gestion des dossiers et tenue des registres). Le HCR partage les Formulaires dʼenregistrement en vue de la réinstallation avec les pays de réinstallation à condition quʼils offrent un niveau adéquat de protection des données personnelles quʼils contiennent, y compris en respectant la confidentialité des données.

Le principe de sécurité

Ce principe impose au HCR dʼappliquer des garanties et des procédures organisationnelles, administratives, physiques et techniques adéquates pour assurer la sécurité des données à caractère personnel, notamment contre lʼaccès et le traitement non autorisés et contre la perte, lʼaltération, les dommages ou la destruction accidentels. Le respect de ce principe est une condition préalable pour garantir la confidentialité des données à caractère personnel.

Dans le contexte de la réinstallation

Les POS doivent garantir une gestion sûre et responsable des fichiers physiques et électroniques, lʼutilisation du courrier électronique et de lʼInternet, ainsi que la mise en œuvre de méthodes de transfert de fichiers sécurisées et dʼune gestion contrôlée des utilisateurs pour les outils PRIMES, y compris proGres, et tout autre système utilisé dans le cadre du processus de réinstallation. Voir 2.5 Gestion des dossiers et tenue des registres. 

Le partage ou le transfert de fichiers de Formulaires dʼenregistrement en vue de la réinstallation, des pièces justificatives, des évaluations et dʼautres documents contenant des données à caractère personnel doit être effectué de manière à garantir la confidentialité et la protection des données à caractère personnel. La meilleure pratique consiste à nʼutiliser que les outils de transfert de données cryptées institutionnels soutenus par le HCR, tels que PRIMES, Microsoft SharePoint et Secure File Sharing (SFS) conformément aux politiques de sécurité de lʼinformation du HCR.. SFS offre une sécurité supplémentaire en permettant la suppression programmée des fichiers et en limitant lʼaccès aux fichiers uniquement au propriétaire/créateur et à des destinataires spécifiques, par défaut. 

En cas de communication via la messagerie électronique Outlook sur des dossiers individuels, des méthodes de minimisation des données et dʼamélioration de la confidentialité doivent être envisagées à tout moment, par exemple en utilisant le numéro dʼindividu/de dossier proGres au lieu des noms des personnes. Dans la mesure du possible, les communications internes par courriel sur les dossiers doivent utiliser des liens vers des entités de proGres telles que les personnes, les groupes dʼenregistrement, les renvois, les dossiers de DSR et les dossiers de réinstallation lorsque les destinataires disposent de profils dʼutilisateur proGres appropriés. Les noms et autres données personnelles ne doivent jamais figurer dans la ligne dʼobjet dʼun courriel. Les collègues doivent également veiller à ce que les courriels contenant des données personnelles sur les réfugiés ne soient transmis à dʼautres destinataires quʼen cas de nécessité absolue.

Les données personnelles ne doivent pas être partagées par des canaux de communication non soutenus ou non approuvés, tels que leur messagerie électronique privée, les applications de messagerie commerciale (Whatsapp, etc.) ou les plateformes de partage de fichiers (Dropbox, etc.). 
Pour plus dʼinformations et de conseils, voir la page Outils, solutions et services de cybersécurité, sur l’Intranet, ainsi que Guidance on Electronic Storage and Transfer of POC data outside PRIMES (Guidance sur le stockage et le transfert électroniques des données POC en dehors de PRIMES) et Politique en matière de sécurité de l’information.

Le principe de transparence  

Ce principe exige que le HCR traite les données à caractère personnel de manière transparente pour la personne concernée. Ce principe exige que le HCR traite les données à caractère personnel de manière transparente pour la personne concernée. Le principe de transparence permet aux personnes concernées de demander des comptes au HCR et dʼexercer un contrôle sur leurs données personnelles. Garantir la plus grande transparence possible dans le traitement des données fait partie de la responsabilité du HCR envers les personnes affectées et doit être considéré comme faisant partie dʼune approche de protection globale commençant par lʼenregistrement initial et renforcée au fil du temps au cours des différentes interactions avec les personnes déplacées et les apatrides.

Dans le contexte de la réinstallation

Au cours du conseil introductif, cʼest-à-dire avant que des données à caractère personnel ne soient collectées lors dʼun entretien, le HCR doit informer les réfugiés des types de données à caractère personnel qui doivent être traitées au cours du processus de réinstallation, des personnes avec lesquelles leurs données seront partagées et des raisons pour lesquelles elles le seront, et expliquer quels sont les droits de la personne concernée et comment ils peuvent être exercés. Pour respecter le principe de transparence, ces informations doivent être fournies de manière claire, concise et facile à comprendre. Par conséquent, les agents doivent adapter les conseils en matière de protection des données en fonction de la capacité de compréhension de la personne concernée. Cela signifie, par exemple, adopter une approche adaptée aux enfants, le cas échéant, et trouver des moyens accessibles dʼinformer des personnes dʼhorizons divers sur le traitement de leurs données à caractère personnel en vue de leur réinstallation. La question de savoir si le traitement des données est suffisamment transparent doit être déterminée du point de vue de la personne concernée. Voir « Le droit à lʼinformation » dans la section ci-dessous.     

Droits de la personne concernée

Les normes de protection des données et de la vie privée de la Partie 2 de la GDPP comprennent lʼensemble des droits des personnes concernées suivants à propos du traitement de leurs données à caractère personnel : 

• le droit à lʼinformation ;
• le droit à l’accès ;
• le droit de rectification ;
• le droit à lʼeffacement ; et
• le droit dʼopposition. 

Avant dʼaccéder à une demande dʼexercice dʼun droit de la personne concernée, le HCR doit vérifier lʼidentité de la personne concernée.

Les droits de la personne concernée ne sont pas absolus et le HCR peut, dans les circonstances dʼun dossier individuel, refuser lʼexercice dʼun droit de la personne concernée, en tout ou en partie, pour les raisons énoncées au §49 de la GDPP. 

En outre, le HCR peut établir des limitations à lʼexercice dʼun droit de la personne concernée qui sont « généralement applicables », cʼest-à-dire qui sʼappliquent à toutes les personnes concernées, si nécessaire pour les raisons énoncées au §62 de la GDPP, et sous réserve des conditions énoncées au §63 de la GDPP. Il est fortement recommandé de consulter le Responsable de la protection et de la confidentialité des données lorsque lʼon envisage dʼétablir une « limitation dʼapplication générale » à un droit de la personne concernée. En outre, le RCPS doit être consulté et donner son accord à toute limitation « généralement applicable » à un droit de la personne concernée dans le contexte de la réinstallation qui pourrait être envisagée au sein dʼune bureau pays ou d’un bureau régional. Une telle limitation doit être documentée et le Responsable de la protection et de la confidentialité des données doit en être officiellement informé.

Tout refus dʼune demande individuelle dʼexercice dʼun droit de la personne concernée doit être enregistré et communiqué par écrit à la personne concernée.
Si une personne considère que lʼexercice de ses droits en tant que personne concernée nʼa pas été respecté, elle peut introduire une réclamation auprès du responsable du traitement des données à caractère personnel (voir les §§51 à 53 du GDPP). Si elle nʼest pas satisfaite de la réponse apportée à sa réclamation, elle peut introduire une demande de réparation (voir les §§54 à 60 et 75.d)). Les POS de réinstallation doivent inclure ou mentionner les procédures mises en place au sein du bureau pour recevoir, enregistrer et répondre aux demandes et aux plaintes relatives à lʼexercice des droits des personnes concernées 

Le droit à lʼinformation  

Les personnes concernées ont le droit dʼêtre informées sur le traitement de leurs données à caractère personnel, y compris, par exemple, sur la question de savoir si leurs données seront partagées avec des tiers et sur la manière dʼexercer leurs droits en tant que personnes concernées. Le droit dʼêtre informé de cette manière est au cœur de la protection des données ; des informations claires et transparentes aident les personnes concernées à connaître et à comprendre le traitement de leurs données à caractère personnel par le HCR, et donc à exercer un contrôle sur ce traitement.

Dans le contexte de la réinstallation

Les candidats à la réinstallation doivent être informés, lors de la consultation initiale, des points suivants, en particulier : 

• Quelles catégories de données à caractère personnel seront collectées, stockées et partagées avec des tiers et à quelles fins (par exemple, données dʼidentité pour vérifier lʼidentité, données relatives à la demande dʼasile et aux besoins de réinstallation pour évaluer lʼéligibilité et les besoins spécifiques pertinents et autres données pour le transport et lʼaide à lʼaccueil).
• Le fait que seules les données nécessaires et proportionnées pour atteindre ces objectifs seront traitées. 
• Comment exercer les droits de la personne concernée.

Voir 4.4 Lʼentretien de réinstallation pour des conseils introductifs.

Le droit à l’accès  

Les personnes concernées ont le droit dʼaccéder à leurs propres données à caractère personnel et le HCR doit sʼefforcer de faire preuve de transparence à cet égard. En particulier, les données à caractère personnel qui ont été collectées auprès de la personne concernée elle-même devraient, en général, être accessibles sans restriction.

Il appartient au HCR de décider du format dans lequel la copie des données à caractère personnel demandées doit être fournie à la personne concernée. Toutefois, lorsque les données à caractère personnel sont contenues dans une copie dʼun document fourni par la personne concernée (par exemple, un passeport ou un certificat), une copie identique de ce document doit en principe être fournie (il convient de noter que le HCR ne doit pas conserver les originaux de ces documents).

Le GDPP contient des dispositions aux §§49 et 61 à 62 qui permettent au HCR de refuser légitimement, en tout ou en partie, lʼexercice du droit dʼaccès. 

Dans le contexte de la réinstallation 

une demande de réinstallation contient des données personnelles non seulement du demandeur de réinstallation, mais aussi dʼautres personnes – notamment les membres de la famille dans le cadre dʼun dossier de réinstallation, les parents énumérés dans la section 3 du Formulaire dʼenregistrement en vue de la réinstallation et le personnel du HCR. Elle peut également contenir des évaluations du HCR (par exemple le Formulaire dʼenregistrement en vue de la réinstallation à proprement parler, la DIS, dʼautres rapports) et des analyses (par exemple sur la demande de statut de réfugié et le besoin de réinstallation, et concernant la situation de protection dans le pays dʼasile). 

Lorsquʼil examine une demande dʼaccès au Formulaire dʼenregistrement en vue de la réinstallation ou à dʼautres documents de la demande de réinstallation, le contrôleur des données personnelles doit déterminer dans quelle mesure le demandeur a le droit dʼaccéder à ces données, en tenant compte i) de la nécessité, compte tenu des circonstances de lʼespèce, dʼappliquer les restrictions autorisées au titre du §49 du GDPP, et ii) de la question de savoir si la demande dʼaccès entraîne une limitation généralement applicable du droit dʼaccès au titre des §§62 et 63 du GDPP. 

Lorsquʼil est établi que le demandeur nʼa pas le droit dʼaccéder à toutes les données à caractère personnel en question, des extraits expurgés doivent lui être fournis. Lʼaccès à ces informations doit être consigné dans le dossier.

Le droit de rectification

Le droit de rectification est le droit dʼobtenir que des données à caractère personnel inexactes ou incomplètes soient corrigées ou complétées. Ce droit peut être exercé par les personnes concernées à tout moment, par exemple sur place lors de la collecte de leurs données personnelles, ou à un stade ultérieur.

Dans le contexte de la réinstallation

Lors des entretiens de réinstallation, les chargés de dossiers doivent relire les informations clés enregistrées pour sʼassurer que les demandeurs ont la possibilité de corriger et de compléter leurs données personnelles, le cas échéant. Les agents doivent garder à lʼesprit que la rectification des données personnelles peut, selon le cas, devoir être traitée comme une incohérence ou une allégation de fraude en vertu de la Politique de lutte contre la fraude commise par des personnes relevant de la compétence du HCR.

Le droit à l’effacement  

Une personne concernée a le droit de demander la suppression de données à caractère personnel pour lesquelles il nʼexiste pas de base légitime pour le traitement ou lorsque les informations ne sont plus nécessaires aux fins spécifiées (ou compatibles) pour lesquelles elles ont été collectées. Ceci à moins quʼil y ait des raisons de conserver les données pour lʼun des objectifs énumérés au §23 du GDPP, y compris « lʼarchivage » et « lʼobligation de rendre compte des actions du HCR ».

Dans le contexte de la réinstallation

Une grande partie des données à caractère personnel traitées à des fins de réinstallation doivent également être traitées à dʼautres fins opérationnelles, en particulier pour des interventions de protection et dʼassistance. À moins que les données à caractère personnel ne soient nécessaires quʼà des fins de réinstallation, leur suppression pourrait donc porter gravement préjudice au réfugié concerné. En règle générale, il serait plus approprié de rappeler au réfugié quʼil a le droit d’opposition au traitement de ses données à caractère personnel à des fins spécifiques de réinstallation (voir ci-dessous). En outre, tous les dossiers individuels des personnes relevant de la compétence du HCR – quʼils soient ouverts ou fermés – sont considérés comme des documents permanents en vertu de la Politique du HCR en matière de gestion des dossiers et des archives du HCR, et, à ce titre, les données à caractère personnel contenues dans un dossier de réinstallation ne sont pas supprimées, à moins quʼelles nʼaient pas une valeur à long terme suffisante pour mériter dʼêtre archivées.

Le droit d’opposition

Une personne concernée a le droit de sʼopposer au traitement de ses données à caractère personnel, à tout moment, pour des raisons légitimes tenant à sa situation particulière. Si lʼobjection est acceptée, aucun traitement ultérieur des données à caractère personnel ne doit avoir lieu aux fins pour lesquelles lʼobjection a été formulée ; et, sʼil nʼy a pas de base légitime pour traiter les données à dʼautres fins, elles doivent en principe être effacées.

Dans le contexte de la réinstallation

 Il nʼy a généralement pas de  motifs légitimes de s’opposer au traitement de données à caractère personnel à des fins de réinstallation lorsque ce traitement est nécessaire et proportionné pour déterminer lʼéligibilité et lʼaptitude à la réinstallation (par exemple données dʼidentité, demande de statut de réfugié, déclencheurs dʼexclusion, admissibilité). À moins que le réfugié concerné ne souhaite se retirer de la procédure de réinstallation, auquel cas, étant donné que la réinstallation est volontaire, lʼobjection serait toujours légitime. Si, en principe, un demandeur de réinstallation peut également sʼopposer au partage de son Formulaire dʼenregistrement en vue de la réinstallation avec un pays de réinstallation spécifique, lʼobjection sera probablement infructueuse, à moins que le demandeur ne puisse démontrer des motifs légitimes liés à sa situation particulière, puisque le HCR nʼest pas nécessairement en mesure de soumettre le dossier à un autre pays où le demandeur préférerait être réinstallé.

Les responsables de dossiers de réinstallation doivent conseiller soigneusement les réfugiés qui sʼopposent au traitement de certaines données à caractère personnel au cours de la procédure de réinstallation, en particulier lorsque lʼacceptation dʼune objection peut avoir pour conséquence que leur dossier ne peut plus être pris en considération pour la réinstallation. Cela dit, les responsables des dossiers de réinstallation doivent être attentifs à la dignité et à la vie privée des personnes concernées et se demander à nouveau si les données à caractère personnel quʼelles sʼopposent à partager sont effectivement nécessaires et importantes pour la demande de réinstallation. Par exemple, il se peut quʼun besoin spécifique, une expérience passée ou une difficulté particulière ne soient pas des données personnelles nécessaires à lʼexamen de la réinstallation, en fonction du contexte et des attentes raisonnables du pays de réinstallation dʼêtre alerté au sujet dʼinformations spécifiques. Les objections de cette nature doivent être examinées avec un responsable de la réinstallation et le demandeur, et un accord doit être trouvé ensemble sur la mesure dans laquelle des données à caractère personnel particulièrement sensibles doivent être traitées et sur la question de savoir si des ajustements organisationnels, contractuels ou techniques peuvent être apportés au traitement pour mieux protéger la dignité, la sécurité et le droit au respect de la vie privée du demandeur. Par exemple, souligner auprès d’un pays de réinstallation quʼune information spécifique est hautement confidentielle et sensible et/ou quʼil est extrêmement difficile pour la personne concernée dʼen discuter, peut être une solution possible.

Accords de partage de données aux fins de réinstallation

Le HCR est souvent amené à partager des données personnelles avec des tiers, y compris, entre autres, des gouvernements, des agences des Nations Unies ou des organisations non gouvernementales. Le partage des données personnelles dans le cadre de la réinstallation se fait, par exemple, par le biais des dossiers de réinstallation soumis aux pays de réinstallation et du suivi de ces dossiers, y compris les mises à jour des données personnelles partagées

La partie 6 de la DPP (qui est plus détaillée que la GDPP quant aux conditions de partage des données à caractère personnel avec des tiers) stipule que, lorsque le partage de données à caractère personnel est susceptible dʼêtre important, répété ou structurel, le HCR doit chercher à signer un accord de partage de données avant le partage, sauf sʼil y a des raisons satisfaisantes de ne pas le faire. Ainsi, le HCR a engagé des discussions bilatérales avec plusieurs gouvernements de pays de réinstallation et dʼautres entités afin de conclure des accords de partage de données (ASD), étant donné que le processus de réinstallation nécessite un partage régulier de données à caractère personnel.

Dans le contexte de la réinstallation

Lorsque le champ dʼapplication dʼun ASD dans le contexte de la réinstallation couvre des demandes de réinstallation provenant de plus dʼun pays dʼasile, elle est considérée comme un ASD global et relève donc de la compétence du service de réinstallation et de parcours complémentaires (RCPS) du HCR et est signée par le responsable du traitement des données à caractère personnel pour la réinstallation au sein de la Division internationale de la protection. Conformément à la DPP, le Responsable de la protection et de la confidentialité des données et le service des affaires juridiques doivent être consultés dans le cadre du processus de rédaction et sont tenus dʼexaminer et dʼapprouver les accords avant leur finalisation. Le RCPS tient un registre des ASD globaux conclus dans le contexte de la réinstallation, quʼil met à la disposition des responsables du traitement des données à caractère personnel concernés, sur demande.

Si un ASD est nécessaire, nous recommandons au responsable du traitement des données à caractère personnel du bureau pays concernée consulte le point focal pour la protection des données du bureau régional concerné et obtienne lʼautorisation du Responsable de la protection et de la confidentialité des données et du service des affaires juridiques, qui consultera également le RCPS afin de garantir la cohérence au niveau mondial. 

Reconnaissant que la préparation et la conclusion des ASD est un processus continu pendant que les activités de réinstallation sont en cours, le HCR doit continuellement prendre en considération le niveau de protection des données offert par les tiers avec lesquels les données à caractère personnel sont partagées, qui devrait être adéquat conformément aux principes de protection des données et de la vie privée de la GDPP du HCR (§44). En outre, indépendamment de lʼexistence dʼun ASD, le HCR est tenu dʼappliquer systématiquement les principes de protection des données et de la vie privée susmentionnés lorsquʼil partage des données à des fins de réinstallation.