Privacy by Design : ma lecture des sept principes fondamentaux

Privacy by Design repose sur sept principes fondamentaux, et représente une solution permettant aux technologies d’évoluer sans porter atteinte à la vie privée des individus, une coexistence saine et pérenne du numérique et des individus.

Privacy by Design repose sur sept principes fondamentaux, et représente une solution permettant aux technologies d’évoluer sans porter atteinte à la vie privée des individus, une coexistence saine et pérenne du numérique et des individus.

Les sept principes fondamentaux

Fondée sur le principe selon lequel la protection des données à caractère personnel ne pourrait être assurée par le simple respect du cadre légal parfois en décalage avec les technologies actuelles, d’après le Commissariat à l’information et à la protection de la vie privée de l’Ontario la protection intégrée de la vie privée s’applique à un trio d’applications globales : les systèmes informatiques, des pratiques responsables, la conception des systèmes et l’infrastructure des réseaux.
La protection intégrée de la vie privée repose sur sept principes fondamentaux, qui peuvent s’appliquer à toutes les catégories de données à caractère personnel, à toutes les mesures organisationnelles, ainsi qu’à tous les dispositifs techniques nécessaires à leur mise en œuvre. Ces derniers devront être en adéquation avec la sensibilité des données traitées.
Il s’agit de rendre à la personne concernée le contrôle sur ses données. En respectant les sept principes fondamentaux développés par Ann Cavoukian, l’ensemble des entreprises qui traitent des données à caractère personnel pourront alors s’inscrire dans une démarche responsable et durable tout en bénéficiant d’un avantage concurrentiel.
On pourrait même considérer cette démarche comme la naissance d’une forme de responsabilité sociétale numérique des entreprises.
Voici les sept principes fondamentaux publiés en aout 2009, ces principes sont suivis de ma lecture personnelle de chacun :

1. Prendre des mesures proactives et non réactives, des mesures préventives et non correctives

La protection intégrée de la vie privée (PIVP) se caractérise par des mesures proactives et non réactives. Elle consiste à prévoir et à prévenir les incidents d’atteinte à la vie privée avant qu’ils ne se produisent. En effet, la PIVP n’attend pas que des risques pour la vie privée se concrétisent, et elle ne propose aucune solution pour résoudre les cas d’atteinte à la vie privée qui se sont déjà produits. Elle vise plutôt à les prévenir. Bref, la protection intégrée de la vie privée vient avant et non après de tels incidents.
Ce principe souligne que le concept de Privacy by Design n’offre aucune solution corrective en cas d’atteinte à la vie privée, sa mise en œuvre doit intervenir dans le cycle de vie d’un projet numérique dès sa conception. Il s’agit d’anticiper les incidents d’atteinte à la vie privée avant qu’ils ne se produisent, ce premier principe place au premier plan l’importance d’agir en amont.
Ce principe est une forme d’indicateur temporel, il situe dans le temps la place de la protection des données à caractère personnel. Il révèle la nécessité pour l’équipe dirigeante de l’organisme de s’engager réellement dans la prévention des atteintes à la vie privée.

2. Assurer la protection implicite de la vie privée

On peut être sûr d’une chose : la protection intégrée de la vie privée est implicite. Elle vise à procurer le maximum de vie privée en veillant à ce que les renseignements personnels soient systématiquement protégés au sein des systèmes informatiques ou dans le cadre des pratiques internes. Donc, la vie privée d’un particulier est protégée même si ce dernier ne pose aucun geste, car la protection de la vie privée est intégrée dans le système, implicitement.
Il s’agit d’offrir le maximum de vie privée à l’utilisateur, la protection de la vie privée n’est pas optionnelle, en effet un utilisateur doit bénéficier d’une protection maximale sans aucune intervention de sa part.
La notion de « protection implicite » définit la protection des données à caractère personnel comme une convenance qui vise à protéger l’intérêt individuel de chacun, une forme de savoir-vivre ou de bienséance numérique.
Ce second principe est aujourd’hui connu sous le nom de Privacy by Default et repris à l’alinéa 2 de l’article 23 du projet de règlement européen.
«Le responsable du traitement met en œuvre des mécanismes visant à garantir que, par défaut, seules seront traitées les données à caractère personnel nécessaires à chaque finalité spécifique du traitement, ces données n’étant, en particulier, pas collectées ou conservées au-delà du minimum nécessaire à ces finalités, pour ce qui est tant de la quantité de données que de la durée de leur conservation.
En particulier, ces mécanismes garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques.»
Il est de la responsabilité des développeurs, des chefs projets et des responsables de programmes de mettre en application ce principe.

3. Intégrer la protection de la vie privée dans la conception des systèmes et des pratiques

La protection intégrée de la vie privée, comme son nom le suggère, est intégrée dans la conception et l’architecture des systèmes informatiques et des pratiques des organismes; elle n’y est pas greffée après coup. La protection de la vie privée devient donc un élément essentiel des fonctionnalités de base. Elle fait partie intégrante du système, sans porter atteinte à ses fonctions.
Ce principe définit la protection de la vie privée comme un élément à intégrer dans la conception et l’architecture même des systèmes informatiques mais également dans les pratiques des organismes.
La protection des données à caractère personnel doit être une composante intégrante du système et de la stratégie organisationnelle de l’organisme sans pour autant porter atteinte à ses fonctions principales.
Pour une application optimale du second principe fondamental, il sera de la responsabilité des développeurs, des chefs projets et des responsables de programmes ainsi que du responsable de la conformité de mettre en application ce principe.

4. Assurer une fonctionnalité intégrale selon un paradigme à somme positive et non à somme nulle

La protection intégrée de la vie privée vise à tenir compte de tous les intérêts et objectifs légitimes en cause selon un paradigme à somme positive et non selon une approche périmée à somme nulle, qui nécessite des compromis inutiles. La protection intégrée de la vie privée évite ces fausses dichotomies, par exemple celle qui oppose la protection de la vie privée à la sécurité, en démontrant qu’il est vraiment possible de réaliser ces deux objectifs à la fois.
Ce principe a pour vocation d’imposer une mise en œuvre du concept de Privacy by Design sans porter atteinte au business, en tenant compte de tous les intérêts et objectifs légitimes de l’organisme.
La protection des données ne devra pas prendre le pas sur le bon déroulement des affaires.

Le concept de Privacy by Design n’est pas un adversaire du business, ils sont tous deux partenaires et complémentaires selon un paradigme à somme positive.
La protection intégrée de la vie privée doit être considérée par tous les effectifs de l’organisme et plus particulièrement par la fonction commerciale comme une valeur ajoutée inestimable, elle permet de conserver le paramètre confiance des utilisateurs ou des clients, un élément majeur dans la relation client. La dichotomie opposant la protection des données à caractère personnel à la sécurité selon un paradigme à somme nulle est une approche erronée du concept.
En effet cette vision des choses est restrictive et ne peut être provoquée que par un déni total des responsabilités qui incombent au responsable de traitement.
Il est de la responsabilité des développeurs, des chefs projets, des responsables de programmes et des directeurs commerciaux d’assurer la bonne diffusion de ce principe.

5. Assurer la sécurité de bout en bout, pendant toute la période de conservation des renseignements

La protection intégrée de la vie privée, lorsqu’elle est intégrée dans le système avant que l’on ne commence à recueillir les renseignements qu’il contiendra, persiste de façon sécurisée pendant toute la période de conservation de ces renseignements; ainsi, des mesures de sécurité essentielles à la protection de la vie privée sont mises en œuvre du début jusqu’à la fin. Cela permet d’assurer la conservation sécurisée des données, puis leur destruction sécurisée à la fin de leur période de conservation. Ainsi, la protection intégrée de la vie privée assure une gestion intégrale, sécurisée et de bout en bout des renseignements pendant toute leur période de conservation.
Ce principe impose d’assurer la sécurité de l’information tout au long de son cycle de vie, on parle alors d’une gestion intégrale visant à garantir une conservation sans risque pour les données et d’en assurer la destruction à la fin de la période de conservation.
La mise en application de ce principe devra être sous la responsabilité du Data Protection Officer ainsi que de toutes les équipes de développement informatique. Le respect de ce principe permettra également d’être en conformité avec l’article 14 du règlement européen.

6. Assurer la visibilité et la transparence

Grâce à la protection intégrée de la vie privée, tous les intervenants seront assurés que sans égard aux pratiques ou aux technologies employées, le système fonctionne conformément aux promesses et aux objectifs établis, sous réserve d’une vérification indépendante. Les éléments et le fonctionnement du système demeurent visibles et transparents, tant pour les utilisateurs que pour les fournisseurs. La vérification permet d’établir un climat de confiance.
Le respect de la vie privée dès la conception garantit au responsable de traitement que le système fonctionne conformément aux promesses et aux objectifs établis.
Chacun des éléments intégrés aux systèmes inhérents à la protection des données à caractère personnel doit rester visible et transparent en cas de vérification indépendante, ce principe vise à conserver un haut climat de confiance.
La mise en application de ce principe devra être sous la responsabilité du « Data Protection Officer » ainsi que de toutes les équipes de développement informatique, chefs projets, responsables de programmes et tous les architectes des systèmes d’information. Le DPO sera le mieux placé pour anticiper les attentes de transparence, en effet il sera lui-même amené à effectuer des audits internes, et à répondre en cas de contrôle de la CNIL.

7. Respecter la vie privée des utilisateurs

Avant tout, la protection intégrée de la vie privée oblige les concepteurs et utilisateurs à privilégier les intérêts des particuliers en prévoyant notamment des mesures strictes et implicites de protection de la vie privée, des exigences appropriées quant aux avis et des fonctions habilitantes et conviviales, axées sur l’utilisateur.
Ce principe impose aux concepteurs qui développent le projet et aux utilisateurs qui seront amenés à utiliser le projet une fois développé, de toujours privilégier les intérêts du particulier c’est-à-dire des personnes concernées par les données gérées via le projet ou y ayant accès via web service. Le principe place la protection des données à caractère personnel de l’utilisateur au centre de toutes réflexions.
Ce principe n’est pas indépendant, il est entrelacé aux six autres, il impose aux concepteurs de munir les systèmes ou les produits qu’ils développent d’une certaine « adequacy », conforme aux attentes des utilisateurs et aux exigences légales.
Comme dans le second principe on peut y voir une forme de savoir-vivre ou de bienséance numérique qui doit être présente au sein du système, ce principe nécessite l’engagement de tous les effectifs de l’organisme.