Kevin Phillips examine l'impact du travail à distance sur la loi sud-africaine désormais pleinement mise en œuvre sur la protection des informations personnelles (POPI). Le décalage juridique l'a-t-il rendue inapplicable dans le lieu de travail moderne et distribué ?
Le phénomène du « décalage juridique » n'est pas nouveau. Les lois ont longtemps eu du mal à suivre les avancées technologiques rapides, mais cet écart se creuse au XXIe siècle. La quatrième révolution industrielle et les progrès remarquables de la technologie numérique et des modèles d'affaires numériques accentuent encore plus le décalage entre nos lois et notre réalité.
Pensez aux débats mondiaux sur la réglementation d'Uber et d'autres services de VTC ; Airbnb et des services similaires perturbant l'industrie du voyage et du tourisme ; et les gouvernements qui s'empressent de réguler les cryptomonnaies. Localement, le South African Broadcasting Service (SABC) s'est récemment emmêlé dans des tentatives d'étendre les redevances télévisées aux services de vidéo à la demande locaux et internationaux (y compris en tentant de rendre ces prestataires de services, et les vendeurs d'appareils intelligents, responsables de la collecte des redevances).
En effet, l'écart ne s'est pas seulement creusé entre les lois traditionnelles et le monde numérique, mais il est aussi, j'oserais dire, visible dans les nouvelles lois conçues pour faire face à notre réalité numérique. Au moment où la nouvelle législation est mise en œuvre, l'environnement a tellement évolué que la loi est déjà dépassée. Prenons la loi sur la protection des informations personnelles (POPI) et la main-d'œuvre distribuée.
Le travail à distance était déjà une tendance émergente dans le monde, puis la pandémie est arrivée et a accéléré cette évolution. Cela n'a été possible que grâce à la technologie de collaboration et de communication basée sur le cloud. Il semble maintenant qu'une forme de travail à distance soit là pour rester, les employés refusant d'abandonner la flexibilité à laquelle ils se sont habitués pendant la pandémie et de nombreuses entreprises s'adaptant à une variante du travail hybride. Certes, au moment de la rédaction de cet article, le gouvernement sud-africain encourageait les entreprises à permettre aux gens de travailler depuis chez eux, sauf si cela était totalement infaisable.
Parallèlement, comme vous en serez certainement bien conscient vu le nombre d'e-mails que vous avez déjà reçus à ce sujet de newsletters auxquelles vous vous souvenez à peine vous être abonné, la loi POPI est entrée pleinement en vigueur le 1er juillet 2021. Étant donné que le premier projet de législation remonte à 2009 (la même année où l'iPhone d'Apple a été lancé en Afrique du Sud !), beaucoup de choses ont changé pendant que la loi était en cours d'adoption. Et inévitablement, les entreprises commencent à se heurter à un décalage entre la protection des informations personnelles et la productivité, grandement exacerbé par l'évolution du visage de la main-d'œuvre.
La loi POPI tend à envisager le stockage et le transport des données en termes d'emplacement centralisé de bureau. C'est également une caractéristique d'autres législations sur la protection des informations personnelles, comme le Règlement général sur la protection des données (RGPD) de l'UE. À l'époque où la loi POPI était en cours de rédaction, les organisations étaient faciles à définir et à protéger, tant physiquement que virtuellement. La frontière entre une organisation et le monde extérieur était évidente, avec des caméras et des données biométriques surveillant les entrées, sorties et comportements physiques sur site. Les responsables de la protection des données pouvaient s'assurer que les copies papier des documents étaient stockées en toute sécurité, accessibles uniquement aux personnes concernées et détruites de manière sécurisée. Virtuellement, l'empreinte numérique d'une organisation était également facile à visualiser et à protéger. Pour la plupart, les employés accédaient aux actifs de l'entreprise depuis le réseau de l'entreprise et leur activité pouvait être surveillée et contrôlée pour protéger l'accès, le mouvement et le stockage des précieuses données d'identification personnelle.
Le fossé entre télétravail et protection des données
Tout cela a été bouleversé avec le passage au travail à domicile. Et bien que nous ayons eu 18 mois pour nous adapter, renforcer les mesures temporaires et combler les lacunes en matière de protection des données et d'autres mesures de sécurité, un fossé pratique demeure.
Par exemple, il est impossible d'exiger les mêmes mesures de sécurité physique dans les domiciles des personnes. Pouvez-vous imaginer exiger des employés qu'ils installent des caméras de sécurité et des scanners biométriques dans leur bureau ou espace de travail à domicile ? Cela ressemble à une ingérence excessive et à une violation de leur vie privée et de celle de leur famille ou de leurs colocataires. De même, même si l'entreprise fournit un coffre-fort ou une armoire verrouillable pour que les employés y stockent les copies papier des données d'identification personnelle, et des déchiqueteuses pour les détruire lorsque cela est nécessaire, il y a moins de surveillance et de contrôle sur le fait que l'employé respecte ces exigences.
Certes, un environnement de travail entièrement sans papier est une solution. Mais combien d'entre nous griffonnent habituellement des notes rapides sur des post-its — qui pourraient inclure des informations d'identification personnelle ?
Le travail à distance dans l'espace virtuel constitue également un défi pour les responsables de la protection des données. Plus d'appareils connectés à distance aux réseaux d'entreprise et aux services cloud signifie plus d'opportunités pour les cybercriminels d'attaquer. À mesure que nos vies personnelles et professionnelles fusionnent de plus en plus, nos appareils font de même, les appareils personnels servant à consulter les e-mails ou les messages, les appareils professionnels servant aux loisirs, et les appareils partagés entre les membres du foyer.
La réalité est qu'une main-d'œuvre à distance, malgré tous ses avantages, présente également des limites très réelles en matière de conformité à la loi POPI. Sans proximité physique, et sans la capacité pour les responsables de la protection des données de vérifier si les employés respectent les réglementations, ou pour les employés de se pencher pour confirmer que leur manager leur a bien demandé de cliquer sur un lien pour effectuer un paiement urgent, ce fossé menace la capacité des organisations à protéger les données d'identification personnelle essentielles.
Productivité et rapidité dans un monde post-pandémique
De plus, on attend de nous tous que nous travaillions avec plus de flexibilité et d'agilité pour stimuler l'innovation et le service client dans nos organisations afin de contribuer à la reprise post-pandémique. Comment cette rapidité et cette flexibilité — portées par la transformation numérique — s'accordent-elles avec des exigences de conformité en matière de protection des données fastidieuses et peu pratiques, conçues dans et pour un autre monde du travail ?
Bien sûr, la protection des informations personnelles est vitale et deviendra de plus en plus importante à mesure que davantage de nos activités se déplacent en ligne. Le travail à distance et le modèle hybride émergent de travail sont à la fois positifs et inévitables. Alors, question sincère : est-il même possible de se conformer à une législation conçue pour un lieu de travail centralisé dans le monde du travail décentralisé d'aujourd'hui ? Devons-nous réfléchir à la législation actuelle sur la protection des informations personnelles pour la rendre plus adaptée à l'environnement commercial décentralisé d'aujourd'hui ?
Tel que publié dans Accountancy SA - novembre 2021