Gestion responsable desdonnées personnelles

CONFIDENTIALITÉ

Bureau de protection des données de laSociété financière internationale (IFC)Gestion responsable desdonnées personnelles© Société financière internationale, septembre 2022. Tous droits réservés.
La présente publication donne un aperçu du cadre de confidentialité de la Société financière internationale(IFC). IFC et la Banque mondiale ne présentent aucune garantie, explicite ou implicite, concernant cettepublication ou les informations qu’elle contient ; elles ne garantissent pas non plus l’exhaustivité du contenu
de cette publication, ou des conclusions ou jugements qui y sont formulés ; et déclinent toute responsabilité
pour les éventuelles omissions dans ce contenu, et pour les conséquences de son utilisation. Le contenu decette publication est uniquement destiné à des fins d’information générale et ne constitue nullement unconseil juridique, un conseil sur des titres en valeurs mobilières, un conseil en investissement, ou un avis
concernant une sollicitation, quelle qu’elle soit.

IFC, membre du Groupe de la Banquemondiale1, est la principale institution dedéveloppement exclusivement axée sur lesecteur privé dans les pays émergents. En
collaboration avec plus de 2 000 partenaires
dans le monde, IFC fournit et mobilise descapitaux, offre des services de conseil aux
entreprises et États membres et tire partide son expérience mondiale et de sa
réflexion novatrice pour aider ses clients
à surmonter les défis financiers,
opérationnels et de développement.

Pour ce faire, IFC utilise des produits et services
innovants et des technologies financièresde pointe. Tout cela repose sur les donnéesqui, associées à la technologie, ont repoussé
les limites du développement. Les « données
personnelles » ou informations sur lespersonnes physiques, en particulier, fournissent
à IFC des informations plus complètes
pour éclairer les décisions de politique etd’investissement. Elles permettent à IFC
d’optimiser le financement du développement
en comprenant les besoins des personnes
et des communautés impactées.

Dans un monde de plus en plus axé sur lesdonnées, et avec un public qui s’intéresse deplus en plus à l’utilisation (et à l’utilisation
abusive) des données, la gestion responsable
des données personnelles est essentielle pourpréserver la réputation d’IFC en tant quepartenaire de confiance et défenseur du bien
public. D’où le besoin d’un système solide etmoderne de gestion desdites données.

Cette publication ne constitue ni n’implique en aucun cas une renonciation, une annulation ou une
modification par IFC des privilèges, immunités et exemptions qui lui sont accordés par ses Statuts, lesconventions internationales ou les lois applicables.
L’ IFC encourageant la diffusion de ses publications, la reproduction de ce document est autorisée, en tout
ou en partie, à des fins non commerciales, à condition d’en mentionner dûment la source. Tous les noms,
logos et marques déposées sont la propriété d’IFC et ne peuvent être utilisés à quelque fin que ce soit sansle consentement écrit explicite de l’IFC. Pour tout autre renseignement sur les droits et licences, y compris
les droits dérivés, veuillez adresser votre demande par courrier à IFC Communications, 2121 Pennsylvania
Avenue, N.W., Washington, D.C. 20433.

1. Le Groupe de la Banque mondiale se compose de cinq institutions : la Banque internationale pour la reconstruction et le développement (BIRD) ; l’Association internationale de développement (IDA,
qui, avec la BIRD, forme la Banque mondiale) ; la Société financière internationale (IFC) ; l’Agence multilatérale de garantie des investissements (MIGA) ; et le Centre international pour le règlement desdifférends relatifs aux investissements (CIRDI).

1

La confidentialité dans le monde
Le Bureau de protection des données d’IFC
concentre ses efforts sur l’utilisation etla gouvernance appropriées des données
personnelles. Il a pour mission essentiellede répondre aux attentes raisonnables
de notre personnel, de nos clients et de nospartenaires, ainsi que des communautéstouchées par les projets d’IFC, notamment ence qui concerne l’utilisation par la Société desdonnées personnelles.

2

Bien que les opinions sur la confidentialité et la protection des données
personnelles varient selon les cultures, plus de 130 pays de toutes
les régions du monde ont mis en place des dispositions législatives
concernant la confidentialité et la protection des données, et ce nombre
ne cesse de croître. Les exigences peuvent varier considérablementd’un pays à l’autre, mais reposent pour la plupart sur un ensemble deprincipes fondamentaux de haut niveau cohérents à l’échelle mondiale.
Les organisations qui adoptent ces principes fondamentaux
sont plus susceptibles de s’aligner sur les attentes actuelles eten évolution concernant l’utilisation acceptable des données

personnelles. Ces organisations sont mieux placées pour tirer parti
des progrès technologiques permettant des utilisations toujours
plus sophistiquées des données, tout en tenant dûment compte del’attention et des préoccupations croissantes du public concernant
l’utilisation des données personnelles.
Le Bureau de protection des données d’IFC a pour mission
première et objectif d’aider IFC à gérer de manière responsable lesdonnées personnelles qu’elle collecte dans le cadre de ses activités
commerciales et à répondre aux attentes raisonnables de ses clients
et partenaires et des communautés qu’ils servent.

3

Politique de confidentialité des données
personnelles du Groupe de la Banque mondiale

Les principes de la Politique de confidentialité
Les sept principes de la Politique de confidentialité sont résumés ci-dessous :1

La Politique de confidentialité a été approuvée par le Conseil d’administration d’IFC etles conseils d’administration des autres institutions du Groupe de la Banque mondialeen mai 2018.
Après une période de mise en œuvre, ces principes sont devenus applicables à toutes lesopérations du Groupe de la Banque mondiale en février 2021.

4

5

Le traitement des données personnelles devrait avoir un
but légitime, ce même traitement doit être équitable ettransparent pour la personne concernée. (Souvent appelée
personne concernée).

Au cœur du programme de confidentialité des données personnelles d’IFC se trouve unensemble de principes fondamentaux partagés par toutes les institutions du Groupe de la
Banque mondiale et inscrits dans la Politique de confidentialité des données personnelles
du Groupe de la Banque mondiale (la Politique de confidentialité).
Les sept principes de la Politique de confidentialité s’inspirent des principes de basecommuns énoncés dans une série de normes et d’instruments internationaux, y compris
le Cadre de protection des données personnelles de l’Organisation de coopération et dedéveloppement économiques (OCDE), la Convention 108 (Convention pour la protection
des personnes à l’égard du traitement automatisé des données à caractère personnel,
Série des traités du Conseil de l’Europe no 108) et le Cadre de protection des données
personnelles de la Coopération économique Asie-Pacifique (APEC).

Traitement légitime, équitable et transparent

2

3

Précision des données
Les données personnelles devraient être collectées,enregistrées et conservées avec le plus de précision possible.

4

Les institutions du Groupe de la Banque mondiale devraient
prendre des mesures techniques et organisationnellesraisonnables pour éviter la destruction, la perte, l’altération
et la divulgation non autorisée des données personnelles ou
l’accès non autorisé à ces dernières.

Limitation des objectifs et minimisation des données
Les données personnelles devraient être collectées
pour un objectif précis à l’exclusion de toute autre, sauf
conformément à la Politique de confidentialité ; seules lesdonnées personnelles nécessaires pour répondre dans cet
objectif doivent être collectées.

Limitation du stockage

Sécurité

6

Transferts de données personnelles
Les données personnelles ne doivent être transférées à
des tiers que pour des fins légitimes et en tenant dûment
compte de la protection de ces données.

7

Responsabilité et évaluation
Les institutions du Groupe de la Banque mondiale sonttenues d’adopter la documentation, les processus et lesprocédures appropriées pour exécuter et superviser laconformité à la Politique de confidentialité.

Les données personnelles devraient être conservées etéliminées conformément aux calendriers applicables deconservation et d’élimination des documents.
5

Approche d’IFC en matière de protection desdonnées personnelles
Le programme de protection des données personnelles d’IFC est composé de trois grands piliers reposant sur les principes fondamentauxénoncés dans la Politique de confidentialité.

Bureau de protection des données d’IFC
La direction d’IFC a délégué au Bureau de protection des données l’autorité fonctionnelle sur le programme de confidentialitédes données de l’institution. Ce bureau relève du département Risque et conformité au sein de la vice-présidence Risques
juridiques et conformité. Il est doté d’une équipe intersectorielle et dirigé par le Responsable principal de la confidentialitédes données
Le Bureau de protection des données élabore, établit et maintient la position d’IFC en matière de confidentialité
et d’appétit au risque en ce qui concerne le traitement des données personnelles, dans le respect de la Politiquede confidentialité.

Dans le cadre de son rôle, le Bureau de protection des données :Politiques etprocédures
Élaboration de politiques et deprocédures qui rendent opérationnelle
la Politique de confidentialité pourles activités quotidiennes dupersonnel d’IFC.

Technologie
Mise en œuvre de mesurestechniques appropriées contre letraitement non autorisé, et contre
la perte, la destruction ou lesdégâts d’origine accidentelle ; etmise en pratique de confidentialité
programmée. (Privacy by Design)

Sensibilisation etformation
Sensibilisation du personnel de l’IFC
aux concepts clés de la confidentialitédes données et formation sur ses
responsabilités au titre de la Politiquede confidentialité et des politiques etprocédures d’IFC en la matière.

1. Sert d’organe central de coordination
et de point focal pour les questions
liées à la confidentialité.

forme le personnel de l’institution envue de leur utilisation.

2. Conseille les équipes d’IFC sur l’utilisation
appropriée des données personnelles
et sur l’identification, l’évaluation etl’atténuation des risques associés autraitement de ces données.

4. Répond aux requêtes des individus qui
souhaitent obtenir des informations
sur leurs données personnelles traitées
ou détenues par IFC ou, le cas échéant,demandent réparation conformément
à la Politique de confidentialité.

3. Élabore les politiques et procédures
d’IFC en matière de confidentialité et

5. Collabore avec les bureaux deprotection des données au sein desautres institutions du Groupe dela Banque mondiale ainsi qu’avec
d’autres départements d’IFC sur desquestions connexes.
6. Définit les exigences operationnelles
en matière de protection des données
personnelles liées aux technologies del’information ausein du département
des solutions informatiques ettechnologiques du Groupe de la
Banque mondiale.

Pour soutenir le travail du Bureau de protection des données , chaque département d’IFC désigne un coordinateur de la confidentialité. Ces
coordinateurs assurent la liaison entre leur département et le Bureau de protection des données , reçoivent une formation améliorée etcontribuent à renforcer la collaboration pratique entre ledit bureau et le personnel d’IFC sur le terrain.
6

7

Quelles sont les données
personnelles traitées par IFC ?

Fournisseurs
et prestataires
de services

Clients etpartenaires

IFC traite des données personnelles dans divers contextes :• Données personnelles traitées dans le cadre de la fournituredes produits et services d’IFC (par exemple, lors del’exécution de contrôles préalables sur des personnes
associées à ses clients et partenaires)• Visiteurs des sites Web d’IFC

Pour quelles raisons IFC peut-elle collecter et traiter des données
personnelles en vertu de la Politique de confidentialité ?

Personnel, personnes
à charge et retraités

La Politique de confidentialité stipule qu’IFC ne peut traiter les données
personnelles qu’à des « fins légitimes ». Une fin légitime peut être définiecomme n’importe quel but :Bailleursde fonds• Réalisée avec le consentement de l’individu dont les données personnellessont traitées ;• Abonnés aux bulletins d’information ou publications d’IFC• Conforme à l’intérêt vital ou supérieur d’une personne concernée ;• Participants inscrits aux événements d’IFC• Nécessaire à l’exécution d’un contrat ou au respect d’une obligation ou
d’un engagement contraignant ; ou

• Données personnelles traitées dans le cadre des processus
Ressources Humaines (par exemple, recrutement)• Données personnelles traitées dans le cadre de la passation demarchés (par exemple, lors de la vérification des antécédents
des fournisseurs potentiels)

Communautésconcernées

Bénéficiaires
des projets• Conforme à la mission, au mandat ou à l’objectif d’IFC ou
raisonnablement nécessaire à leur accomplissement.

Des informations complémentaires, y compris des avis de confidentialité détaillés couvrant letraitement des données dans le contexte des produits et services, événements et sites web d’IFC,
sont disponibles à l’adresse IFC.org/privacy.
89

Gestion et atténuation du risquede confidentialité
IFC déploie plusieurs outils et stratégies
pour gérer de manière responsable lesdonnées personnelles et atténuer lesrisques de confidentialité, en fonction
des circonstances. Ces outils et stratégies
forment un solide cadre de gestion desrisques de confidentialité, conçu pourmettre en pratique les principes de laPolitique de confidentialité.

Le processus de gestion des données personnelles dans les opérations d’IFC est régi par le cadre de gestion
des risques de confidentialité de l’institution. Ce cadre vise à identifier les risques de confidentialité potentiels
le plus rapidement possible – avant le traitement des données personnelles – afin d’avoir le maximum
d’opportunités de mettre en place des mesures d’atténuation conformes à la Politique de confidentialité.

Le cadre de gestion de la confidentialité d’IFC comprend :• Des évaluations obligatoires des risques de confidentialité, conçues pour être réalisées parles équipes d’IFC au début du cycle des projets et être évaluées de manière centralisée par le
Bureau de protection des données.
• Des clauses de confidentialité détaillées dans les modèles juridiques pertinents d’IFC,
définissant clairement les attentes de l’institution en matière de confidentialité.
• Un système intégré de gestion des cas pour fournir des conseils en temps utile aux équipes
d’IFC qui en font la demande.
• Des dispositifs de gestion de la confidentialité adaptés aux activités d’IFC qui impliquent
systématiquement le traitement de données personnelles.
• Un programme continu de formation et de sensibilisation du personnel.

1011Exemples
EXEMPLE 1 :Une équipe consultatived’IFC a été engagée par
un client pour le conseiller
en matière de gestion
des ressources humaines
et aura accès à desinformations concernant les
employés du client.

POUR ATTÉNUER LE RISQUE DE CONFIDENTIALITÉ,LE PERSONNEL D’IFC DOIT :• Limiter les données personnelles• Inclure des clauses de confidentialité
collectées par IFC à celles nécessaires
appropriées dans l’accord
pour mener à bien le projet. Si possible,
juridique pertinent.
ne collecter que des données agrégées
ou anonymisées.
• Respecter les obligations deconfidentialité et de sécurité découlant• Si des données personnelles sontdes dispositions contractuelles et desnécessaires, limiter autant quepolitiques et procédures d’IFC.
possible la quantité et le type desdonnées collectées.

Informations sur le langage contractuelLorsque IFC reçoit d’un tiers (par exemple, un client ou unpartenaire) des données personnelles, elle doit souvent s’enremettre à ce tiers pour obtenir les autorisations et consentements
nécessaires au partage de ces données avec IFC. Cette dernière
reçoit généralement ces garanties au moyen d’un accord juridique12

EXEMPLE 2 :Une équipe IFC Upstream
mène une enquête
auprès de micro, petites
et moyennes entreprises(MPME) afin de recueillir
des informations sur leclimat local des affaires

LE PERSONNEL D’IFC ATTENUE LE RISQUE DECONFIDENTIALITÉ COMME SUIT :• Conçoit l’enquête de manière à necollecter que les données personnelles
nécessaires pour fournir à IFC les
informations dont elle a besoin.
• Inclut un avis de confidentialité audébut de l’enquête et, le cas échéant,demande aux participants d’indiquer
qu’ils ont lu et compris comment leursdonnées personnelles seront utilisées.

• Respecte les limites s énoncées dansl’avis de confidentialité.
• Respecte les obligations deconfidentialité et de sécurité découlant
des politiques et procédures d’IFC.

Minimisation des données dans les opérations d’IFC
écrit qui inclut les obligations du tiers en ce qui concerne les données
personnelles fournies à IFC. Des dispositions sur la confidentialitédes données sont désormais standard dans les modèles juridiques
pertinents d’IFC.

La minimisation des données est un autre principe fondamental
de la Politique de confidentialité et l’un des principaux facteursd’atténuation des risques de confidentialité. En vertu de ce principe,
IFC limite autant que possible la quantité et le type des données
personnelles collectées à celles nécessaires à l’objectif du traitement.

Par exemple, si les seules données personnelles dont IFC a besoinpour ce projet sont les noms et les adresses électroniques descontacts des MPME, seules ces données – à l’exclusion de touteautre – doivent être collectées. Les données personnelles ne doiventêtre collectée sauf si nécessaire.

13

EXEMPLE 3 :Une équipe IFC
de gestion desconnaissances met
en place un nouveausite Web externe quicollectera les données
personnelles desvisiteurs du site.

LE PERSONNEL D’IFC ATTENUE LE RISQUE DE CONFIDENTIALITÉCOMME SUIT :EXEMPLE 4 :• Respecte les principes de la confidentialité
programmée (Privacy by Design) et créele site de manière à ne collecter que lesdonnées personnelles nécessaires, enquantité et en type, aux fins du site Web.

IFC partage des données
personnelles avec unpartenaire dans lecadre d’un projet dedéveloppement conjoint.

• Rédige un avis de confidentialité adapté
au site Web, indiquant quelles données
personnelles seront collectées, comment
IFC les utilisera et avec qui elle les partagera.

• Lie l’avis de confidentialité à toutes les pages
du site.
• Respecte les limites énoncées dans l’avis deconfidentialité.
• Respecte les obligations de confidentialité
et de sécurité découlant des politiqueset procédures d’IFC en matièrede gouvernance numérique et detechnologies de l’information.

LE PERSONNEL D’IFC ATTENUE LE RISQUE DECONFIDENTIALITÉ COMME SUIT :• Confirme que le partage des données
personnelles est raisonnablement
nécessaire pour mener à bien le projetde développement conjoint.
• Confirme que le partage des données
est conforme au but précis pour lequelles données personnelles
ont été collectées.

• S’assure que tous les consentements
nécessaires au partage des données ont
été obtenus.
• Inclut des protections et des limites
d’utilisation appropriées dans l’accord
juridique avec le partenaire.

Renseignements sur les avis de confidentialitéPartage des données pour le développement
Le premier principe de la Politique de confidentialité définit
le traitement équitable et transparent comme une exigence
fondamentale. L’un des principaux moyens d’y parvenir consisteà fournir un avis confidentialité approprié aux individus dont lesdonnées personnelles seront traitées. Un avis de confidentialité
est un document qui fournit des détails sur la manière dont ces
données seront utilisées (par exemple, quelles données seront
collectées, comment elles seront utilisées, qui y aura accès,
14

combien de temps elles seront conservées, etc.). Lorsque IFC
collecte des données personnelles directement auprès d'unou de plusieurs individus, les équipes d’IFC doivent préparer etfournir un avis de confidentialité. Lorsque IFC reçoit les données
personnelles d’un tiers, elle doit souvent s’en remettre à cettepartie pour préparer et fournir un avis confidentialité approprié(cette question est généralement abordée dans l’accord
juridique entre IFC et le tiers concerné).

Les données, y compris les données personnelles, sont au cœurdu développement. Le partage de données entre partenairesde développement est également une pratique courante etnécessaire. Lorsque l’objectif d’un projet nécessite le partage dedonnées personnelles, des précautions supplémentaires sontprises pour vérifier que cette pratique est conforme aux exigencesde la Politique de confidentialité. Par exemple, dans le projet

susmentionné, IFC inclurait généralement dans l’accord juridiqueune clause exigeant un niveau de sécurité approprié pour lesdonnées et imposant des limites spécifiques à l’utilisation, au
partage et à la conservation des données personnelles partagées
afin de répondre aux exigences de la Politique de confidentialité
relatives au transfert des données.

15La confidentialité à l’échelle du Groupede la Banque mondiale

Procédure d’examen etde réparation

Avec une seule politique de confidentialité établissant un ensemble de principes communs, les institutions du Groupe de la Banque mondialepartagent une approche cohérente et collaborative de la confidentialité. Le personnel travaillant sur les questions de confidentialité des données
dans les différentes institutions se réunit régulièrement pour se coordonner, discuter de questions d’intérêt mutuel et consolider une culture desensibilisation à la confidentialité au sein du Groupe de la Banque mondiale.

Dans le cadre de son dispositif de confidentialité des données, IFC a mis en place une procédure
permettant s aux particulier de demander des informations sur leurs données personnelles traitées
ou détenues par IFC et, le cas échéant, de demander réparation.

Cependant, en raison de leurs mandats uniques, chaque institution du Groupe de la Banque mondiale met en œuvre la Politique deconfidentialité en tenant compte de ses besoins spécifiques. D’où une approche de la confidentialité partagée à l’échelle du Groupe de la
Banque mondiale et mise en œuvre au niveau de chaque institution.

Pour plus d’informations sur les programmes de confidentialité desorganisations sœurs d’IFC au sein du Groupe de la Banque mondiale,veuillez consulter les sites suivants :Banque mondiale :https://www.banquemondiale.org/fr/about/legal/privacy-notice
MIGA: miga.org/privacy
CIRDI:
https://icsid.worldbank.org/fr/a-propos/contenu/accord-de-confidentialite

16

Ces particuliers peuvent soumettre une demande concernant leurs données personnelles détenues
par IFC, conformément au septième principe de la Politique de confidentialité, en suivant lesétapes décrites dans le document Personal Data Review & Redress Mechanism Statement d’IFC(disponible à ifc.org/privacy).
Le mécanisme d’examen et de réparation d’IFC ne s’applique qu’aux données personnelles détenues
par l’institution Les demandes relatives aux données personnelles détenues par une autre institution
du Groupe de la Banque mondiale doivent être soumises conformément à la procédure de cetteinstitution. Les modalités de soumission des demandes à la Banque mondiale, à la MIGA et au CIRDI
sont disponibles sur le site Web de chaque institution (voir les liens à la page précédente).

Pour de plus amples informations sur l’engagementd’IFC concernant la gestion responsable des données
personnelles veuillez consulter la page ifc.org/privacy
Les questions relatives aux pratiques d’IFC en
matière de confidentialité peuvent être adresséesà ifcdataprivacy@ifc.org
17

CONFIDENTIALITÉ

2121 Pennsylvania Avenue, NW
Washington, DC 20433, États-Unis