Gouvernance numérique

Adopter un instrument juridique (tel qu'une loi ou un règlement) qui définisse ce qui constitue une DPI, en précise l'objectif, nomme l'institution responsable de chaque système et intègre les normes ouvertes, l'interopérabilité et les principes de gouvernance d'intérêt public à chaque système.

Tenir un registre public centralisé auprès du ministère de tutelle pour chaque système classé comme DPI, à mettre à jour au moins une fois par an. Alternativement, l'inventaire des DPI pourrait être intégré à d'autres bases de données publiques et organisationnelles, au niveau des agences ou au niveau central.

• Objectif public : Le registre doit au minimum mentionner la finalité, la base juridique, l'organisme responsable, les opérateurs, les catégories de données traitées et un point de contact public.

Publier une évaluation de chaque système au regard des obligations existantes en matière d'accès à l'information, de protection des données et d'ouverture des formats, accompagnée d'une feuille de route et d'un calendrier pour combler les lacunes et intégrer les exigences légales à la conception. Cette feuille de route pourra servir de base à la phase de conception du système.

S’assurer que l’autorité puisse recevoir et enquêter sur les plaintes relatives aux préjudices liés à la DPI, inspecter les systèmes, exiger des informations et transmettre les cas aux autorités compétentes. Exiger qu’elle présente un rapport annuel à l’assemblée législative et au public. (Voir le Open Gov Guidechapitre (Pour des conseils plus spécifiques, consultez la section « Prise de décision automatisée, algorithmes et intelligence artificielle ».)

Les institutions supérieures de contrôle des finances publiques, les services de médiation, les organismes de protection des consommateurs, les commissaires à l'information et les commissions législatives disposent de statuts qui peuvent leur conférer implicitement une compétence, mais celle-ci devrait être explicitée. Dans la mesure du possible, il convient d'étendre (et de financer) leurs mandats plutôt que de créer de nouveaux organismes, notamment en veillant à ce qu'ils puissent rendre compte publiquement de l'exercice de leurs fonctions et recevoir les plaintes du public ou ouvrir des enquêtes suite à la participation citoyenne.

Les grands systèmes peuvent confier la définition et l'évaluation des objectifs à un forum gouvernemental ouvert existant, ou créer un organe dédié comprenant des représentants permanents de la société civile. Plusieurs actions peuvent être entreprises, comme indiqué dans la liste ci-dessous.

• Publier les critères de sélection, le mandat et les conditions de service des représentants de la société civile.
• Publier les ordres du jour, les procès-verbaux et les décisions de chaque réunion dans un délai déterminé.
• Rendre compte à l'organisme au moins deux fois par an de chaque système DPI majeur.
• Inclure les personnes qui utilisent le système, et pas seulement les organisations qui l'étudient.
• Renforcer les capacités, donner accès à la documentation technique pertinente et fournir les ressources nécessaires à la participation (et à l'observation extérieure), parallèlement à la création de possibilités de participation formelles.
• Attribuer des sièges à plusieurs organismes ayant des intérêts dans le programme dès le début du processus de conception, afin d'assurer la coordination interministérielle.

Exiger des mesures relatives aux droits de la personne, à la protection des données et à la vie privée, ainsi qu'à l'exclusion, dans les évaluations d'impact avant le déploiement d'un système d'inspection de données et de renseignements (IPD), puis à intervalles réguliers par la suite ou lorsque son objectif ou sa portée change. Publier ces évaluations et prévoir une période de consultation publique avant le déploiement. (Canada) Directive sur la prise de décision automatisée propose un modèle d'évaluation, tandis que Loi sur le système d'identification philippin propose une solution pour légiférer sur les garanties avant le déploiement plutôt qu'après.

Prévoir des fonds dédiés à la gouvernance du DPI. Veiller à ce que ces coûts soient intégrés dès le départ aux budgets gouvernementaux et aux accords de financement pertinents, y compris lorsque le DPI est financé par l'aide au développement, des prêts ou d'autres financements extérieurs.

Publier les données relatives à la couverture des inscriptions, aux taux d'échec d'authentification, aux taux d'exceptions, aux échecs de transaction, aux plaintes et aux résultats des appels, ventilées lorsque les données le permettent, pour chaque type de système de protection des données personnelles (par exemple, identité ou paiements). En cas d'exclusion, publier les mesures correctives, la date limite, l'établissement responsable et les progrès réguliers réalisés pour y remédier.

Consultez les organisations membres représentant (ou servant régulièrement) des groupes tels que les personnes sans papiers, les personnes handicapées, les migrants, les populations rurales et les personnes ayant un faible niveau d'alphabétisation dès la phase de conception, et non après le lancement. de Ciels bleus Leur participation, y compris la prise en charge des frais de déplacement et du temps de personnel, est essentielle pour que celle-ci ne soit pas réservée aux organisations et aux représentants qui en ont déjà les moyens. Les structures mises en place peuvent inclure un comité consultatif, un comité de conception, un forum d'adoption ou d'autres instances de participation multipartite, comme décrit précédemment.

Fournir gratuitement les documents d'état civil et les pièces d'identité légales pour les systèmes d'identité numérique et de paiement numérique. Lorsque des frais sont appliqués pour le renouvellement de ces documents ou le traitement des transactions, exiger qu'ils soient proportionnés et publiés, et faire l'objet de rapports périodiques.

Inscrire la limitation de portée dans l'instrument juridique et exiger que toute nouvelle finalité soit autorisée par une procédure publique plutôt que par une décision administrative. Cela peut impliquer plusieurs actions, comme indiqué dans la liste ci-dessous.

• Exiger que chaque partie utilisatrice, publique ou privée, enregistre son cas d'utilisation dans un registre public, en indiquant les fonctions et les attributs de données qu'elle utilise.
• Publiez le registre et tous les ajouts qui y seront apportés avant leur entrée en vigueur.
• Exiger une justification publiée pour chaque nouvelle connexion à un système DPI.

Publier les accords régissant les transferts de données DPI entre agences et entre entités gouvernementales et privées, y compris l'accès des forces de l'ordre et des services de renseignement. Lorsqu'un accord est légalement tenu secret, en publier l'existence, les parties concernées et son fondement juridique, ainsi que des statistiques agrégées sur son utilisation. Exiger que les systèmes indiquent aux utilisateurs l'identité de toute partie demandant des données, de l'argent ou une pièce d'identité.

Les journalistes, les chercheurs et les organisations de la société civile constituent la principale source de données probantes sur les défaillances de ces systèmes. Ils sont également exposés à des risques lorsqu'ils enquêtent sur des questions liées à la protection des données personnelles et doivent être protégés en conséquence. Cette protection peut prendre plusieurs formes.

• Interdiction de la surveillance : Interdire l’utilisation des données issues du DPI pour profiler, localiser ou restreindre les activités des journalistes, des défenseurs des droits de l’homme et des organisations de la société civile, et prévoir un recours lorsque cela se produit.
• Interdictions de représailles : Interdire le refus ou le retrait de l'accès DPI en réponse à une protestation, une critique ou une affiliation politique.
• Protection des lanceurs d'alerte : Mettre en place un canal protégé permettant aux opérateurs de systèmes, aux sous-traitants et aux chercheurs indépendants de signaler les défauts et les utilisations abusives sans crainte de représailles.

Veiller à ce que les achats du DPI fassent l'objet d'appels d'offres concurrentiels et publier le processus conformément aux Norme contractuelle ouverte de données, y compris les documents d'appel d'offres, les attributions, les valeurs des contrats, les modifications et beneficial ownership du fournisseur retenu. D'autres recommandations sont disponibles ci-dessous. Pour plus de détails sur les meilleures pratiques en matière de contrats ouverts, consultez le Open Gov Guidechapitre sur « la transparence des marchés ».

• Dispositions relatives à la sortie : Exiger dans chaque contrat DPI des dispositions de sortie, la portabilité des données et le droit de migrer vers un autre fournisseur, et publier ces clauses.
• Construction modulaire : Structurer les systèmes en modules afin que les composants puissent être remplacés indépendamment.

Publier la documentation d'architecture système et les spécifications techniques. Adopter des normes et protocoles ouverts pour l'ensemble des composants et publier le processus de certification. Lorsque le code source est public, le diffuser sous une licence ouverte. L'Éthiopie, le Maroc et les Philippines ont construit des systèmes d'identité nationale basés sur ce principe. code source ouvert partagé, c'est ce qui rend possibles la migration et l'inspection indépendante.

Exiger que les contrats, les licences et les règles de participation des opérateurs privés garantissent la transparence, l'auditabilité, la protection des données, la non-discrimination, le droit des consommateurs à obtenir réparation et les obligations de publication. Publier la répartition des responsabilités entre les institutions publiques et les opérateurs privés pour chaque système, ainsi que les recours disponibles en cas de défaillance. Définir les mécanismes de responsabilité et de recours avant la mise en service complète d'un système.

Publier des lignes budgétaires spécifiques pour chaque système DPI majeur, couvrant les coûts de construction, d'exploitation et de maintenance, ainsi que les revenus provenant des frais et des transactions, dans un rapport financier annuel publié.

• Responsabilité indépendante : Distinguer le rôle de régulateur de celui d'exploitant d'infrastructure.
• Règles de participation : Publier les règles selon lesquelles les fournisseurs peuvent adhérer au système, y compris les conditions de non-discrimination.
• Rapports sur la concurrence : Établir des rapports périodiques sur le nombre de fournisseurs et la concentration du marché dans chaque système DPI.

Désigner des voies de recours (plaintes, appels, médiation, instances judiciaires ou quasi judiciaires) pour les préjudices liés à la DPI, et publier les procédures, les normes de service, les délais de réponse et les voies d'escalade.

• Parties responsables : Afficher l’autorité publique responsable et ses coordonnées sur l’interface du système elle-même, y compris lorsque le service est fourni par un tiers.
• Canaux de réclamation : Il est essentiel de prévoir des moyens de déposer des plaintes hors ligne et par téléphone, et pas seulement en ligne. Cela est important car les personnes qui ont le plus besoin d'un tel moyen de réclamation sont celles que le système a déjà laissées tomber.

Établir juridiquement qu'un utilisateur n'est pas responsable des transactions non autorisées ou de l'utilisation abusive de ses identifiants, sauf si l'opérateur peut prouver le contraire. Publier les règles de répartition des pertes dans un langage clair et accessible, et exiger des relevés de transactions vérifiables et suffisants pour résoudre tout litige.

Exiger un audit indépendant périodique des principaux systèmes d'inspection approfondie des données (DPI) par des institutions supérieures de contrôle des finances publiques, des autorités de protection des données ou des tiers accrédités, portant sur la conformité aux exigences d'exclusion et de droits ainsi que sur la sécurité. Cet audit peut comprendre les actions suivantes.

• Vérifications : Publier les conclusions de l'audit, les mesures correctives qu'elles engendrent, les échéances et l'état d'avancement.
• Mesures d'application : Publier les enquêtes, les sanctions, les manquements contractuels et les ordonnances correctives, sous réserve des limites légales en matière de confidentialité et de sécurité.
• Examen de la gouvernance : Évaluer si les mécanismes de gouvernance fonctionnent en pratique, et pas seulement s'ils existent sur le papier.

Mettre en place un mécanisme de financement transparent pour le suivi par la société civile des principaux systèmes de DPI, ouvert aux organisations de services et non techniques, et garantir l'accès à une aide juridique indépendante pour les personnes lésées par ces systèmes.

• Données relatives au traitement des dossiers : Mettre en place des canaux permettant aux résultats du suivi de parvenir à l'institution responsable et publier les mesures prises en réponse.
• Surveillance indépendante : Suivi des fonds pendant la phase pilote et le déploiement initial, lorsque la conception est encore modifiable.
• Apprentissage tout au long de la vie: Encourager des examens publics périodiques ou thématiques visant à déterminer si les dispositifs juridiques, institutionnels, commerciaux et techniques sous-jacents qui soutiennent le DPI fonctionnent comme prévu.