Traduction française fournie à titre informatif ; seule la version anglaise approuvée fait foi.
La présente Politique régit la manière dont les données à caractère personnel sont collectées, utilisées, communiquées, conservées, sécurisées, archivées, transférées et détruites par SPAG ou pour son compte. En tant qu’association établie en France, SPAG est soumis au RGPD et à la loi française du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi Informatique et Libertés), et relève du contrôle de la CNIL.
Les personnes dont SPAG détient des données sont diverses : membres, candidats, partenaires, donateurs, participants aux événements, utilisateurs du site internet, abonnés à la lettre d’information, agents publics, experts, participants à des recherches — ainsi que les auteurs de plaintes, les lanceurs d’alerte, les témoins et les personnes mises en cause. Les garanties appliquées sont proportionnées au risque que comporte chacune de ces situations.
Deux engagements structurent l’ensemble. Les données ne sont collectées que si elles sont adéquates, pertinentes et limitées à ce qui est raisonnablement nécessaire à la finalité annoncée — jamais au motif qu’elles pourraient s’avérer utiles plus tard. Et elles ne sont conservées sous une forme identifiante que pendant la durée requise par cette finalité, car le faible coût du stockage ne justifie pas de conserver quoi que ce soit indéfiniment.
La présente page décrit les règles institutionnelles de SPAG. Elle ne remplace pas la notice d’information, le formulaire de consentement ou la clause contractuelle spécifiques qu’exige une activité donnée, et une politique générale ne suffit jamais, à elle seule, à satisfaire toutes les obligations de transparence.
Accès
Obtenir la confirmation que SPAG traite ou non des données à caractère personnel vous concernant et, le cas échéant, une copie de ces données ainsi que des informations sur les finalités, les catégories, les destinataires, la durée de conservation et, lorsque les données n’ont pas été collectées auprès de vous, leur source.
Clause 9.2Rectification
Obtenir la rectification des données inexactes et le complément des données incomplètes. SPAG tient en outre des procédures permettant de corriger les inexactitudes significatives dans les dossiers utilisés pour les décisions institutionnelles, les publications, les résultats de recherche et la gestion des relations avec les parties prenantes.
Clause 9.2, 10.5Effacement
Demander la suppression des données lorsque les conditions légales sont réunies. Ce droit n’est pas absolu : la conservation peut se poursuivre lorsqu’elle demeure nécessaire et proportionnée pour des raisons juridiques, de protection, probatoires ou de redevabilité, ou lorsque les droits d’autrui sont en jeu.
Clause 9.2, 20.5Limitation
Exiger de SPAG qu’il limite l’utilisation de vos données pendant le règlement d’une contestation portant sur leur exactitude, sur la licéité du traitement ou sur une opposition, plutôt que d’en obtenir l’effacement pur et simple.
Clause 9.2Portabilité
Lorsque les conditions sont remplies, recevoir les données à caractère personnel que vous avez fournies dans un format structuré, couramment utilisé et lisible par machine, ou les faire transmettre à un autre responsable du traitement.
Clause 9.2Opposition
Vous opposer à un traitement fondé sur l’intérêt légitime ou sur une mission d’intérêt public, ainsi qu’à un traitement à des fins de prospection. Des droits s’appliquent également à l’égard de certaines décisions automatisées.
Clause 9.2Retrait du consentement
Lorsque le traitement repose sur le consentement, le retirer à tout moment, par un moyen aussi simple que celui utilisé pour le donner. Le retrait ne rend pas illicite le traitement effectué antérieurement, et le consentement n’est jamais lié à des conditions sans rapport.
Clause 6.4, 9.2Réclamation auprès de la CNIL
Introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, l’autorité de contrôle française, sur cnil.fr. SPAG respecte ce droit et coopère avec la CNIL lorsque la loi l’exige.
Clause 2.3, 9.2Pour répondre à une demande d’exercice des droits, en principe, à compter de sa réception. SPAG n’impose pas de forme particulière dès lors que la demande peut raisonnablement être identifiée et son auteur authentifié par un autre moyen.
Clause 9.1, 9.3Prolongation supplémentaire lorsque la loi l’autorise en raison de la complexité ou du nombre des demandes — et uniquement si vous en êtes informé au cours du premier mois.
Clause 9.3Délai dans lequel toute personne qui découvre une violation présumée la signale en interne, lorsque cela est possible, au référent à la protection des données ou à tout autre destinataire autorisé.
Clause 17.1Pour notifier la CNIL lorsqu’une violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, sauf exception applicable. Lorsque le risque est élevé, les personnes concernées en sont informées directement.
Clause 17.3–17.4Détecter
Une violation s’entend de toute défaillance de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à celles-ci.
Clause 17.1Signaler en interne
Immédiatement et, lorsque cela est possible, dans un délai de vingt-quatre heures. Nul ne procède à une notification externe au nom de SPAG sans y être autorisé.
Clause 17.1–17.2Contenir
Préserver les éléments de preuve, éviter toute diffusion supplémentaire des données et prendre, dans les limites de ses propres attributions, les mesures de confinement immédiates raisonnables.
Clause 17.2Évaluer et consigner
Toute violation avérée est documentée. L’évaluation détermine si elle est susceptible d’engendrer un risque, ou un risque élevé, pour les droits et libertés des personnes concernées.
Clause 17.3Notifier
La CNIL, dans les meilleurs délais et, si possible, dans un délai de soixante-douze heures lorsqu’un risque est probable. Lorsque le risque est élevé, les personnes concernées en sont informées directement, avec des informations leur permettant d’agir.
Clause 17.3–17.4Tirer les enseignements
Après un incident important, les causes profondes, les mesures correctives, les contrôles d’accès, les dispositions avec les fournisseurs, la formation et les procédures sont réexaminés, et la mise en œuvre des mesures correctives convenues est suivie jusqu’à son terme.
Clause 17.6L’anonymat chaque fois que la finalité le permet
Le responsable de la recherche doit déterminer si des données identifiantes sont réellement nécessaires, et privilégier des informations anonymisées ou agrégées chaque fois que la finalité peut être atteinte sans identification. Les jeux de données partagés avec des collaborateurs externes sont anonymisés lorsque cela est raisonnablement possible.
Accepter de participer ne constitue pas une base légale
Le consentement à participer à une recherche et la base légale du traitement au sens du RGPD sont liés mais distincts. Aucune équipe de recherche ne peut présumer que l’accord donné pour un entretien constitue la base légale appropriée pour toute utilisation ultérieure des données de la personne.
Publier une citation est une décision distincte
La publication d’une citation, d’une étude de cas, d’une photographie, d’un enregistrement ou d’un profil identifiable fait l’objet d’une évaluation propre lorsqu’elle n’était pas clairement couverte par l’information initialement donnée au participant — avec une vigilance particulière dans les contextes de conflit, de déplacement et d’exposition politique.
Les données sensibles ne sont jamais collectées par défaut
La recherche sur les politiques publiques peut toucher aux opinions politiques, à l’origine ethnique, aux convictions religieuses et à la santé. Aucune de ces informations n’est recueillie systématiquement : le responsable du projet doit démontrer qu’elles sont nécessaires à une finalité définie et que des garanties sont en place.
Les travaux à haut risque sont évalués avant toute collecte
Lorsqu’une recherche porte sur des catégories particulières de données ou des données relatives aux infractions pénales, ou sur des informations susceptibles d’exposer les participants à des représailles, à des discriminations, à un risque politique ou à une atteinte physique, une évaluation renforcée des risques et des contrôles d’accès — et, le cas échéant, une analyse d’impact complète — interviennent en premier, et non après coup.
Les informations publiques restent des données à caractère personnel
Les données issues de sources publiques demeurent des données à caractère personnel dès lors qu’une personne est identifiable. Leur accessibilité publique ne dispense SPAG d’aucune de ses obligations en matière de base légale, de loyauté, de transparence, de limitation des finalités, de sécurité ou de respect de vos droits.
Des contrôles renforcés, et non ordinaires
Ces dossiers peuvent contenir des allégations, des informations sur des témoins, des données relatives à la santé et à la vie sexuelle, des opinions politiques, des données relatives aux infractions pénales et des informations susceptibles d’exposer une personne à des représailles. Ils font l’objet, à chaque étape, de contrôles renforcés de confidentialité et d’accès.
La gravité ne justifie pas la diffusion
Les informations ne sont communiquées qu’aux personnes qui en ont besoin pour la protection, l’évaluation, l’enquête, le respect des droits de la défense, la conformité juridique, le soutien ou la gouvernance. Une diffusion plus large au sein de l’encadrement est interdite, précisément parce qu’une affaire est grave ou sensible.
Les faits distingués des allégations
Les dossiers distinguent, lorsque cela est possible, les faits vérifiés des allégations, des opinions, des actes de procédure et des décisions finales — et évitent à chaque étape les détails personnels sans pertinence.
Aucune identité divulguée sur simple demande informelle
Le droit d’accès et les autres droits sont examinés au regard des restrictions légales et des droits d’autrui, y compris la protection des lanceurs d’alerte. Nul ne divulgue l’identité d’un lanceur d’alerte ou des informations relatives à la protection au seul motif qu’une personne en a fait la demande.
Exercer vos droits
Les demandes parviennent à SPAG par l’intermédiaire du Secrétariat et sont transmises sans délai au référent désigné à la protection des données. Aucun formulaire n’est imposé : une demande est traitée dès lors qu’elle peut raisonnablement être identifiée et que vous pouvez être authentifié, SPAG pouvant toutefois prendre des mesures proportionnées pour vérifier votre identité avant de communiquer des données à caractère personnel.
Si une préoccupation porte sur un manquement plutôt que sur vos propres données, c’est le dispositif relatif aux lanceurs d’alerte et aux plaintes qui s’applique. Vous pouvez également introduire à tout moment une réclamation auprès de la CNIL.
