En fait les collectivités sont déjà passibles de sanctions si elles font n’importe quoi… qui vont jusqu’à la mise sous tutelle du préfet.



Le sénat est issu des petites collectivités pour beaucoup et je comprend bien que le surcout de redévelopper/modifier tous les progiciels publics + payer des référents données publiques alors que de manière évidente une collectivité n’a pas pour objet un usage hostile de ces données est idiot. Profondément dispendieux même pour des grosses structures comme des régions/départements/agglos.



Ceci sans compter que les SI publics des collectivités vont se retrouver pris en tenaille entre la demande des citoyens d’être connus et identifiés en ligne une seule fois (pas une fois à la bibliothèque, une autre aux archives, une autre pour le dossier handicap de papy, une autre pour la scolarité des enfants, une autre pour la réclamation aux espaces verts, une autre pour le centre aéré, une autre pour la tombe de mamie, une autre pour le renouvellement des passeports, une autre pour l’assainissement, une autre pour les permis de construire, une autre pour l’association de danse, une autre pour les élections etc. comme actuellement. Oui c’est long le nombre de missions d’une collectivité " />) et l’obligation légale de tout archiver/détruire automatiquement quand les données ne sont plus utiles en cloisonnant bien les données par grand domaine comme ordonné par le CNIL.



Ceci sans compter l’autre obligation légale de tout archiver pour la recherche historique en archives du fonctionnement administratif certaines années. C’est quand même effectivement plutôt une mauvaise idée d’avoir inclus les administrations dans le RGPD qui ont vraiment un autre fonctionnement que le privé.



Au final ça n’empêche ni les usages hostiles de ces données super sensibles (politiques, religieuses, médicales, raciales très souvent) ni ça n’améliore le service administratif rendu au public (si tu touches le RSA tu ne vas pas exercer ton droit à l’oubli et refaire ton dossier juste derrière…) tout en compliquant tout, et notamment l’analyse à l’échelle d’un mandat du bilan d’une action politique.

Moi je suis certain que le RGPD n’empêche pas cela.



Ni de lister tous les handicapés mentaux du CCAS pour les gazer dans le four de la cantine municipale… (soyons optimistes/diffamatoires/grinçants " />)



Le RGPD ne joue pas sur les données d’état civil des collectivités, Mr Muhamad Abdallah aura toujours son nom et son adresse de connues dans la mairie et ses liens familiaux seront conservés dans le SI jusqu’à plusieurs décennies après sa mort même si ses filles mariées s’appellent bernadette dupont et cunégonde de la gillardière.



Et il n’en reste pas moins que maire facho ou pas, l’objet des fichiers d’état civil n’est nullement de nuire à certaines personnes sur des critères racistes et si ce maire s’entête trop sur ce sujet il aura contrôle conformité CNIL et éventuellement mise sous tutelle de son blanc pays par la préfecture. Ce qui n’est pas prévu (la mise sous tutelle) pour le privé qui ferait la même chose.

Tu as des données d’état civil dans 99% des fichiers avec traitement nominatif dans une collectivité.



A part peut être sur les site web d’archives ou de bibliothèques ou tu autorises l’inscription uniquement avec un email sinon c’est généralement une obligation légale.

Non mais les règles déontologiques n’ont pas attendu le RGPD pour s’appliquer dans les administrations… en quoi sont elles laxistes actuellement? En quoi ce que fait Ménard à Bézier est légal? En quoi ce serait empêché par le RGPD? En quoi les collectivités partagent légalement les données avec n’importe qui?

Il faut être un peu concret surtout si on réfléchit à ces questions.

Il n’y a actuellement aucune économie de faite sur les contraintes légales dans les collectivités et administrations.



Il y a par contre des économies faisables sur la paperasserie (principal résultat de la RGPD pour une administration) et le redéveloppement d’applis qui gèrent des données tellement sensibles que ce n’est pas le RGPD qui peut être garant des libertés mais uniquement les fonctionnaires.

Ca dépend des collectivités.

Je dirais qu’aucune n’est prête à 100% parce que quasi tout est géré par des progiciels et que les fournisseurs de ces progiciels sont rares à être prêts. Donc soit il faut redévelopper tout et ça va absorber le budget des collectivités pour les dix ans à venir soit ça va être comme actuellement, tout le monde fait au mieux et la CNIL est compréhensive (genre certification ISO, l’essentiel est de s’améliorer " />).

Le principal truc qui a bougé ce sont les explosions de frais de prestations avec des boites qui se sont montées exprès pour gérer tout ça en externe avec des experts autoproclamés référent RGPD qui feront des rapports pour rassurer ou dédouaner les élus et des directeurs " />

Ca a déjà coûté une blinde (pour quasi rien selon moi) donc.



Et puisque tu en parles je vais être transparent : Actuellement je bosse dans un département (700bases de données dont plus de 200 de prod, 100 profils utilisateurs avec des droits différents pour la plus grosse appli pour donner une idée du gâchis paperassier que ça va être juste d’évaluer toutes les fuites/pertes/détournements de données possibles et peut être 200 écrans front à redévelopper+ toutes les interfaces derrière avec la police, la CAF, l’ursaff, les RAM, les presta privés à revoir pour virer les dates trop précises et les champs textes…) et les données les plus sensibles (médicales) sont dans une GED, donc impossible à traiter au document puisque non OCRisées/isables… (sauf à vouloir payer des médecins à faire du secrétariat d’archives " /> )

On va perdre beaucoup de temps et d’énergie je pense pour un changement nul côté citoyen. On le connait de sa naissance à sa mort et entre la gestion de la protection de l’enfance qui fait qu’on doit savoir qui s’est occupé d’un gosse des fois qu’il porte plainte adulte et le fait que les gens ne vont pas se désinscrire du RSA ou des allocations handicap/vieillesse pour le LOL on a juste aucune info qu’il est pertinente d’archiver pour protéger la vie privée à part sur les points de détail (genre les dates dont je parlais avant qu’on peut réduire à l’année de naissance souvent) que le RGPD va nous obliger à prendre en compte. Et les descriptifs “champs textes” onnis du RGPD, dans le traitement des dossiers d’action sociale il est probable qu’ils repassent en papier parce que les professionnels ont besoin des infos pour bosser. Et le papier n’est pas dans le RGPD \o/



Je peux comparer à des bases d’action commerciale ou des portails de vente web privé comme je faisais avant, le niveau de complexité n’a rien à voir, un portail d’ecommerce ou de billetterie en ligne le modèle de données est trivial à côté d’une administration.



En gros avec ce truc on aura bien perdu du temps et de l’énergie alors que s’il devait y avoir un usage hostile des données il aurait eu lieu de longue date. Quand tu sais où vit une personne, son patrimoine, son rib, l’adresse de sa famille, son niveau de GIR et à quelle heure passent ses aides à domicile elle est à ta merci, conformité RGPD ou pas.



C’est bien plus la destruction du statut de fonctionnaire (et de presta associatif d’aide à la personne) qui devrait inquiéter en termes de moralité vis à vis des données personnelles. A titre personnel on m’a déjà inclu dans des bases de publicité téléphonique ou mail après que je me sois inscrit à des sites marchands, jamais à des sites administratifs, c’est du coup paradoxalement ma boite mail la plus publique qui est la moins spammée… Le jour où ce sont des précaires qui font ça comme ils feraient des vendanges ou vendraient des canapés qui gèreront ces données ce ne sera pas la même. RGPD ou pas.



Je ne suis donc pas neutre mais j’ai l’avantage de savoir de quoi je parle ayant fait du privé marchand et du public, je vois bien qu’on n’est absolument pas sur les mêmes pratiques, complexités informatiques et enjeux.

La protection qu’elles ont c’est que ce sont des fonctionnaires qui s’en occupent + toutes les règles CNIL déjà appliquées (mais qui étaient des règles adaptées aux collectivités, pas des règles commerciales transposées pour raisons de comm ou par méconnaissance à tout acteur informatique).



Du coup c’est plus cher pour les collectivités qui ne sont pas soumises au droit commercial depuis le début de la création de leurs SI et n’ont donc pas pris en compte ces contraintes (et qui sont sur de vieilles technos, pas de l’objet + micro services comme dans le web qui sont plus faciles à faire évoluer). Et c’est pas plus cher pour les collectivités en fait, dans l’absolu on s’en fout niveau acteurs publics, c’est plus cher pour ta gueule parce que les sous que je dépense c’est tes impôts qui les paient " />



Et sinon dans l’absolu les données personnelles n’ont aucune valeur marchande pour les collectivités qui ne les revendent pas et n’ont quasi pas de services marchands concurrentiels à gérer sur lesquels l’exploitation de ces données pourrait présenter un avantage (à part les cantines, l’aide à domicile et les billetteries de sport/spectacle en gros… que des trucs fournis à perte aux administrés en France).

Elles ont de la valeur pour les vendeurs de pub et c’est pour ces acteurs que les règles RGPD ont été mises en place, pour des collectivités c’est absurde.

bloossom a écrit :



Hors de question que parce qu’il s’agit d’une collectivité publique, mes données soient stockées sans mesures de sécurité et accessibles à tout va par des curieux ou des malhonnêtes.





Tu as des exemples concrets de ça? De données accessibles par des curieux sur un SI public? Où? Quoi? Comment? Quand?



Parce que des SI publics consultables sans contrôle d’accès aux locaux puis sur l’ordi il n’y a plus depuis 15-20 ans (comme dans le privé avec l’arrivée des réseaux type AD) et des fichiers nominatifs qui transitent par mail ou http il y a dix ans je veux bien, aujourd’hui c’est généralement très rare et interdit par les RSI dès que c’est détecté.



Pour le reste le statut de fonctionnaire te permet de dire non à un élu mal intentionné sans qu’il puisse détruire ta vie en te foutant à la porte donc oui c’est la principale protection contre un mésusage des données (et là par contre j’ai plein d’exemples d’élus complètement barrés avec les listings) et représente un engagement moral vis à vis des citoyens qu’un privé n’a pas (et donne un droit de retrait légal qu’un privé n’a pas à ma connaissance).

Par exemple si tu es viré pour faute grave sur les données personnelles dans le privé tu peux bosser le lendemain sur d’autres bases de données privées. Dans le public si tu perds ton statut de fonctionnaire c’est fini pour bosser directement sur des données publiques.



Sinon j’ai l’impression que ce que tu déplores c’est l’absence de contrôles du cadre légal, pas son insuffisance. Après je ne connais pas toutes les collectivités de France non plus mais le cadre légal actuel est largement suffisant (s’il est appliqué on est d’accord) et surtout bien plus adapté.

bloossom a écrit :



Une rapide recherche sur NXI démontre que les leaks existent tout autant chez les privés que dans le public.





Vraiment? Une consultation régulière de Zataz donne l’image inverse… As tu un exemple précis, et qui concerne les collectivités, pas “le public”.







bloossom a écrit :



ps. Si ces élucubrations sur le statut du fonctionnaire sont vraisemblables, elles pourraient être prises en compte selon la GDPR dans l’étude de l’impact du traitement. Personne ne conteste que certaines particularités du public puissent être prises en compte (je pense notamment aux motifs justificatifs du traitement par exemple, ou à l’étendue du traitement): par contre il faut qu’elles soient pertinentes.





Merci pour les élucubrations, elles sont effectivement prises en compte actuellement par la CNIL. C’est à peu près l’ensemble de mon explication sur le privacy by design qui est hors d’atteinte pour le public -parce que pour l’instant donnée manipulée par un fonctionnaire = donnée sécurisée- qui repose là dessus…







bloossom a écrit :



Si l’organisation de la collectivité publique en matière de protection des données personnelles est au dessus de tout soupçons, elle est compliant avec la GDPR et ne pose pas de problème ni n’induit de coût supplémentaires.





Aucune structure dont le SI a plus de 15 ans n’est compatible avec ces nouvelles exigences qui sont taillées pour l’e-commerce, pas pour des SI hérités de la mini et/ou de la micro informatique. (tu sais l’époque ou chiffrer un mot de passe n’avait aucun sens).

La mise en conformité de développements effectués à l’origine en progres, en 4D, en C ou en Cobol sur Oracle va couter des milliards. Prétendre que le privacy by design n’implique pas de problèmes ou de surcout c’est surtout prouver qu’on n’a pas compris le contenu de ces lois.

Et prétendre que le traitement algorithmique de l’archivage met les données personnelles en sécurité est également une belle tarte à la crème.