Ces dernières années, nous avons assisté à un durcissement significatif des exigences en matière de protection de la vie privée dans le monde entier. Des réglementations telles que le GDPR en Europe, la CCPA en Californie, la PIPEDA au Canada et d'autres législations dans de nombreux pays ont créé une nouvelle norme pour la gestion des informations personnelles. En Israël, l'Amendement 13 à la Loi sur la protection de la vie privée représente une autre étape importante dans cette direction.
Pour les organisations qui effectuent des vérifications d'antécédents fondées sur le renseignement de sources ouvertes (OSINT), la question se pose parfois de savoir si ces réglementations rendront ces vérifications impossibles ou nuiront à leur efficacité.
La réponse professionnelle est non.
La réglementation modifie la manière dont la vérification est effectuée, mais elle ne supprime pas le besoin de celle-ci et n'empêche pas la réalisation de vérifications de qualité lorsqu'elles sont menées de manière professionnelle, légale et proportionnée.
Qu'est-ce que l'Amendement 13 à la Loi sur la protection de la vie privée ? L'Amendement 13 vise à renforcer les capacités d'application de l'Autorité de protection de la vie privée et à aligner la législation israélienne sur les normes internationales modernes. Entre autres, l'amendement accorde à l'Autorité de protection de la vie privée des pouvoirs d'application plus étendus, augmente de manière significative le montant des sanctions financières, oblige les organisations à gérer les informations personnelles de manière plus responsable, accroît la responsabilité des propriétaires de bases de données et des processeurs de données, et renforce les droits des personnes concernées. Dans la pratique, l'implication pour les organisations est que la violation des dispositions relatives à la vie privée peut devenir un risque commercial, juridique et réputationnel important.
Comment les réglementations en matière de confidentialité affectent-elles les vérifications d'antécédents ? L'erreur la plus courante consiste à penser que la législation sur la vie privée interdit la collecte d'informations. En réalité, la plupart des réglementations dans le monde n'interdisent pas la collecte d'informations personnelles de manière générale. Elles exigent que la collecte soit effectuée sur la base de principes clairs : une finalité légitime, la proportionnalité, la transparence, la minimisation des données, la sécurité des informations et une conservation limitée dans le temps. Autrement dit, la question n'est pas "est-il permis de collecter des informations ?", mais plutôt "quelles informations sont collectées, pourquoi le sont-elles et comment sont-elles utilisées ?".
L'utilisation de l'OSINT n'est pas exemptée des lois sur la vie privée. Il existe une autre perception erronée selon laquelle les informations publiées sur Internet seraient "libres d'utilisation". Le fait qu'une information se trouve sur le réseau n'annule pas son caractère d'information personnelle. Par exemple : un profil LinkedIn, les publications sur les réseaux sociaux, les articles de presse, les registres commerciaux et les contenus sur les forums. Tous ceux-ci peuvent être considérés comme des informations personnelles et être soumis aux lois sur la vie privée. Par conséquent, une organisation qui effectue des vérifications d'antécédents ne peut pas s'appuyer sur l'argument selon lequel l'information était simplement "publique".
Comment peut-on effectuer des vérifications d'antécédents de qualité conformément à la réglementation ?
Définir une finalité claire : Une vérification d'antécédents doit être directement liée au risque que l'organisation cherche à atténuer. Par exemple : détecter les conflits d'intérêts, identifier les fraudes passées, détecter les comportements susceptibles de nuire à l'organisation, examiner les risques réputationnels et identifier les relations commerciales problématiques. La collecte d'informations sans rapport avec cette finalité peut être considérée comme une déviation par rapport au principe de proportionnalité.
Collecter uniquement les informations pertinentes : Une vérification professionnelle ne se mesure pas à la quantité d'informations collectées, mais à la qualité des informations. Dans de nombreux cas, un excès d'informations complique justement la prise de décision. L'approche correcte consiste à se concentrer sur des informations ayant une réelle valeur commerciale et à les relier à l'évaluation des risques requise.
Recourir à des analystes humains : L'un des problèmes centraux des vérifications automatisées est la collecte massive d'informations sans contexte. Un analyste professionnel sait distinguer le fait de l'opinion, recouper les sources, identifier les erreurs d'identification, comprendre les contextes culturels et linguistiques et exercer son jugement. C'est précisément dans un monde de réglementation stricte que la valeur du facteur humain augmente.
Transparence et consentement lorsque cela est requis : Dans les processus de recrutement de salariés ou certaines relations contractuelles, il est recommandé d'obtenir un consentement explicite pour effectuer une vérification d'antécédents. Même lorsque la loi ne l'exige pas pleinement, un consentement clair renforce la légitimité du processus et réduit les risques juridiques.
Suppression des informations et conservation limitée : L'un des principes fondamentaux de la plupart des réglementations en matière de confidentialité est la limitation de la durée de conservation. Après l'achèvement de la vérification et la prise de la décision commerciale, il convient d'examiner s'il existe une justification pour continuer à conserver les informations, si les rapports peuvent être supprimés et si seule une conservation partielle des données est nécessaire. Cette approche réduit les risques liés à la sécurité des informations et diminue l'exposition réglementaire.
L'avantage de l'OSINT précisément à l'ère de la confidentialité : Paradoxalement, les réglementations en matière de confidentialité renforcent justement la position des vérifications OSINT de qualité. Par le passé, de nombreuses organisations s'appuyaient sur la collecte d'informations provenant de nombreuses bases de données, dont certaines étaient problématiques d'un point de vue juridique. Aujourd'hui, l'accent se déplace vers les informations recueillies à partir de sources ouvertes, légales, documentées et vérifiables. Lorsque la vérification est effectuée de manière professionnelle, il est possible de parvenir à des conclusions significatives même sans accès à des informations privées ou confidentielles. Dans de nombreux cas, ce sont précisément les informations ouvertes qui fournissent les indications les plus importantes concernant le comportement, les relations commerciales, les risques réputationnels ou les conflits d'intérêts.
La clé est la Governance et non l'interdiction : Le message central de l'Amendement 13 et des réglementations en matière de confidentialité dans le monde n'est pas "n'effectuez pas de vérifications d'antécédents". Le message est : effectuez-les de manière responsable. Les organisations qui mettront en place des processus de travail ordonnés, veilleront à la proportionnalité, exploiteront des mécanismes de contrôle et auront recours à des analystes professionnels pourront continuer à effectuer des vérifications d'antécédents extrêmement efficaces, même sous une réglementation stricte.
En effet, dans un monde où les menaces internes, les fraudes, les usurpations d'identité fondées sur l'AI et les conflits d'intérêts deviennent plus complexes, le besoin de vérifications d'antécédents professionnelles ne fait que croître.
Le nouveau défi n'est pas de trouver des informations. Le défi est de savoir collecter les bonnes informations, les utiliser de manière légale et en tirer des conclusions ayant une réelle valeur pour la prise de décision.