De façon concrète, il s’agit d’une démarche de protection du consommateur dont le périmètre s’est étendu en passant de la vie privée à la protection des données des données et dont la force obligatoire est devenue plus considérable avec le RGPD (I)
Les principes qui l’animent (II) permettent, dès la conception d’un outil, de renforcer les intérêts des individus en appliquant des mécanismes de protection des données efficientes (III) parce que « mieux vaut prévenir que guérir ».
I- LA MISE EN AVANT DU « PRIVACY BY DESIGN » PAR LE RGPD
Le privacy by Design avant le RGPD ==> Une simple démarche de protection de la « vie privée » :
D’un point de vue historique, la démarche privacy by design est évoqué depuis les années 1990. Il a pour objectif de garantir que la protection de la vie privée soit intégrée dans les nouvelles applications technologiques et commerciales dès leur conception.
C’est notamment le cas de la directive 95/46/CE entrée en vigueur le 13 décembre 1995 contenant déjà plusieurs dispositions qui prévoient expressément que les responsables du traitement des données doivent mettre en oeuvre des garanties technologiques lors de la conception et l’utilisation des TIC. Notamment, le considérant 46 dispose que des mesures techniques permettant de garantir la vie privée doivent être prises en compte tant au moment de la conception du système de traitement qu’à celui de la mise en oeuvre du traitement lui-même.
Et, en octobre 2010, des régulateurs du monde entier se sont réunis à l’assemblée annuelle de l’International Data Protection and Privacy Commissioners de Jérusalem, Israël et, ont unanimement pris la résolution reconnaissant la protection de la vie privée dès la conception comme une composante essentielle de la protection fondamentale de la vie privée.
C’est d’ailleurs fort de cette évolution que la Commission fédérale du commerce des États-Unis a reconnu en 2012 le Privacy by Design comme l’une des trois pratiques recommandées pour protéger la vie privée en ligne dans un rapport intitulé Protecting Consumer privacy in an Era of Rapid Change (Protection de la Vie privée du Consommateur dans un Contexte de Changement Rapide).
Le privacy by Design après le RGPD ==>Une obligation (sanctionnée en cas de non-respect) de protection étendue à la protection des données personnes (et non plus à la vie privée). Avec l’entrée en vigueur du RGPD à changé de dimension. Ce n’est plus une simple mesure de protection des données personnelles mais une obligation pour les entreprises de créer des mesures de protections des données personnelles. Pour chaque nouvelle application, produit ou service traitant des données à caractère personnel, les entreprises et autres responsables du traitement devraient offrir à leurs utilisateurs ou clients le plus haut niveau possible de protection des données.
lesentreprises doivent passer d’un régime déclaratif et d’autorisation à une logique de responsabilisation. Auparavant, des formalités préalables devaient être effectuées auprès de la CNIL après détermination des mesures de protection dans le traitement des données personnelles de l’entreprise.
Aujourd’hui, les mesures devront être prises par un responsable de traitement nommé dans l’entreprise. Il devra, si et seulement s’il y a contrôle de la CNIL, DPO RGPD personnelles en démontrant les mesures prises à cet effet.
Les avantages du privacy by Design version RGPD pour une organisation sont considérables:
· une réduction des risques liés à usage impropre des données à caractère personnel ;
· une réduction des risques liés à sa responsabilité / aux sanctions ;
· une capacité à fournir des services conformes à la législation; un avantage compétitif;
· une réduction des coûts de développement des services par une intégration de l’approche Privacy by Design dans la gestion du projet dès son lancement.
Pour le consommateur final par : une réduction des risques liés à un usage impropre de ses informations personnels ; une confiance accrue dans l’usage des services proposés.
II- LES 7 PRINCIPES FONDAMENTAUX DU PRIVACY BY DESIGN
Le Privacy by Design s’est développée durant les années 1990 par la Commissaire à l’information et à la protection de la vie privée de l’Ontario (Canada) Ann Cavoukian autour de 7 éléments :
1- Des mesures proactives et préventives
2- Une protection implicite et automatique
3- Une intégration de la vie privée dans la conception des systèmes et au cœur des pratiques
4- Une protection intégrale
5- Une sécurité de bout en bout, durant toute la durée de la conservation des données
6- Assurer la visibilité et la transparence
7- Respecter la vie privée des utilisateurs (en privilégiant les intérêts des particuliers)
Dans les deux premiers principes, il s’agit de faire en sorte que la protection de la vie privée soit “all inclusive” et non une option parmi d’autres. L’utilisateur ne doit pas être obligé d’agir (en cochant des cases par exemple) pour activer sa protection, cette protection doit être activée par défaut. Du côté de l’organisation qui collecte les données, il s’agit d’abord de ne collecter que les informations dont elle a réellement besoin, et de les traiter avec précaution et loyauté. Pour les entités qui collectent les données, le “Privacy by design” est un défi à la fois technique et organisationnel.
Il s’agit d’offrir aux clients la garantie d’un traitement des données qui soit à la fois parfaitement sûr et qui corresponde exactement à leur besoin, sans collecter plus de données que nécessaire. Cette garantie devra également être présente tout au long de la conservation et de l’utilisation des données. Le tout, en parfaite transparence sur les modalités et les finalités du traitement des données.
Tout système de collecte de données doit être assorti d’un moyen de vérifier, de modifier et de supprimer les données qu’on a enregistrées. Si des données sont partagées avec un tiers, l’utilisateur doit être averti et donner son consentement. L’utilisateur peut toujours refuser ce type de partage.
III- L’APPLICATION DU PRIVACY BY DESIGN
Appliquer le Privacy by design est un défi exigeant à relever pour les entreprises et les organisations, tant d’un point de vue technique qu’organisationnel. Par exemple, pour pouvoir mettre en place un système de collecte des données, il faut pouvoir être techniquement outillé pour les vérifier, les modifier et les supprimer a posteriori :
Il est donc important de suivre une méthodologie structurée consistant à rédiger un Process Impact Assesment (PIA). Il s’agit de rédiger une étude préalable, apprécier la sensibilité du projet au RGPD, Identifier les exigences , mise en œuvre des mesures adaptés autour des idées clefs ci-dessous :
1. La pseudonymisation des données : Cette technique de structuration des données rend plus difficile l’identification d’un individu, à moins de disposer d’autres informations complémentaires. Les données sont classées et dissociées par utilité dans une base de données dédiée à cette finalité.
2. La minimisation de la collecte des données : Appliquer le principe du strict minimum est rendu techniquement possible grâce aux « Privacy Enhancing Technologies », qui permettent aux utilisateurs de garder le contrôle sur leurs données. Ils peuvent ainsi les minimiser et même les anonymiser si tel est leur souhait.
3. Le protocole de preuve à divulgation nulle de connaissance : Ce protocole sécurisé permet d’apporter une preuve mathématique d’authentification et d’identification d’un utilisateur, sans pour autant révéler d’autres informations.
4. Les Framework de travail : Dès le lancement d’un nouveau service, produit, projet ou d’une nouvelle fonctionnalité, il faut s’assurer que l’on est bien dans le respect des mesures de protection de la vie privée. Pour travailler plus efficacement, il est recommandé d’utiliser des Framework de travail prévu à cet effet. Ce type de document est un bon point de départ pour vous permettre de vérifier que vous cochez toutes les cases requises par le RGPD.
OVERVIEW « PRIVACY BY DESIGN »
Fulness MANDONDO
Consultant Valauris Consulting Africa
Téléphone: 00242 05 765 13 42
Mail: mandondo.fulness@valauris-africa.fr