Menu
Le concept du « privacy by design » ou « protection dès la conception » est en cœur du nouveau Règlement Général pour la Protection des Données (RGPD) qui entrera en vigueur à partir du 25 mai 2018. Il impose que les règles établies par le RGPD soient intégrées dès la conception d’un projet, produit, service, outils de récolte utilisant des données personnelles. Il est également associé au concept de « privacy by default » ou « protection par défaut » sur lequel nous reviendrons. L’objectif de ce duo de concepts est d’éviter un risque de violation des données en mettant en place des mesures de protection le plus en amont possible et ne nécessitant aucune action particulière de l’utilisateur. Ces protections sont un prérequis pour se mettre en conformité avec le règlement.
Le privacy by design
Cette approche est définie à la fin des années 90 à l’initiative d’Ann Cavoukian, commissaire à l’information et à la protection de la vie privée de l’état d’Ontario. Elle repose sur 7 principes fondamentaux permettant de ne pas porter atteinte à la vie privée des individus tout en poursuivant l’exploitation des technologies existantes et à venir. Elle recherche la prise en compte, dès la conception, des exigences de protection des données plutôt que de les adjoindre par des modules complémentaires. De même, l’utilisateur, par défaut, ne doit pas être obligé d’agir pour que sa protection soit garantie.
Les 7 principes fondamentaux du Privacy by Design
Comme évoqué ci-dessus, le « privacy by design » repose sur des principes fondamentaux :
• des mesures préventives et proactives,
• une protection implicite et automatique (privacy by default),
• une intégration de la vie privée dans la conception des systèmes et au cœur des pratiques,
• une protection intégrale,
• une sécurité de bout en bout, durant toute la durée de la conservation des données,
• assurer la visibilité et la transparence,
• respecter la vie privée des utilisateurs.
Ces principes sont repris dans le RGPD qui les illustre à travers des mesures concrètes telles que la réduction au strict minimum des traitements de données à caractère personnel, la pseudonymisation dès que possible, la transparence sur les modalités et les finalités du traitement des données et la mise en place de dispositifs de sécurité. Concernant la « protection par défaut », elle garantie qu’un traitement de données collecte et utilise uniquement les données dont il a besoin. Elle s’assure également que les données ne soient pas collectées ou conservées au-delà du minimum nécessaire aux finalités du traitement tant dans la quantité de données que dans leur durée de conservation. Ces garanties doivent être présentes tout au long de l’utilisation et de la conservation des données. L’utilisateur doit également avoir les moyens de vérifier, modifier ou supprimer les données enregistrées. Si les données sont partagées avec un tiers, il doit être averti et donner son consentement. Il peut également refuser le partage ou retirer son consentement.
Le « privacy by design » et le « privacy by default » sont des concepts permettant de se conformer au RGPD en évitant la mise en conformité a posteriori coûteuse financièrement et complexe technologiquement. Pour les organisations les ayant adoptés depuis longtemps nous pourrions même évoquer un certain avantage concurrentiel et une source de confiance pour les utilisateurs. Mais pour les autres, comment adopter le « privacy by design » ?
