Privacy by design, ou comment protéger la vie privée dès la conception

La question du Privacy by design est naturellement arrivée avec l’entrée en vigueur du RGPD, pour protéger la vie privée des utilisateurs.

Devenues pleinement responsables du bon traitement des données à caractère personnel, les entreprises ont dû s’adapter à cette nouvelle réglementation, sous peine d’une amende pouvant être portée jusqu’à 4 % du chiffre d’affaires mondial en cas de non-respect constaté par la CNIL.

Mais qu’entend-on au juste par Privacy by design ? Quels principes en découlent et quelle est la différence avec Privacy by default ? Enfin, comment bien appliquer le Privacy by design dans votre entreprise ? Les réponses dans cet article !

Le principe de Privacy by design (PbD) implique que la protection des données personnelles doit faire partie intégrante des réflexions en amont de tout projet d’entreprise. Dès la conception d’un nouveau service, d’une fonctionnalité ou d’une campagne marketing, le respect de la vie privée doit faire partie des priorités absolues.

Le Privacy by design a émergé dans l’article 25 du RGPD (Règlement Général pour la Protection des Données), et le non-respect de ce principe peut entraîner des sanctions financières voire des poursuites judiciaires en cas de contrôle de la CNIL.

Si, à première vue, le Privacy by design implique des contraintes légales, techniques et de délais, il fait également émerger quelques avantages comme :

• la diminution des dépenses de mise en conformité avec la loi. En prenant en compte la protection des données dès le départ, on évite certains désagréments. Par exemple, le fait de devoir retravailler certains points du projet pour pouvoir être en conformité. Cela peut en effet impliquer des coûts supplémentaires, des retards voire une remise en cause du projet ;
• la réduction des risques de poursuites judiciaires à cause d’un manquement ;
• le développement d’une relation de confiance avec l’utilisateur, qui grâce à la transparence sur le traitement des données, a l’assurance qu’elles seront traitées avec le plus grand soin ;
• l’augmentation des consentements. En effet, la transparence sur le traitement des données peut rassurer certains utilisateurs autrefois frileux du fait du manque d’informations. Cela peut les inciter à donner plus facilement leur consentement ;
• des économies grâce à une baisse du besoin en capacité de stockage, qui peuvent parfois représenter des sommes conséquentes.

Le DPO est le Data Protection Officer, autrement dit le responsable du traitement des données. Ce nouveau rôle transversal est apparu suite à l’entrée en vigueur du RGPD, permettant de mettre en application le Privacy by design.

Cette fonction centrale d’une entreprise a pour responsabilité de s’assurer du respect de la vie privée par chaque collaborateur·trice dans chaque projet de l’entreprise que ce soit une campagne marketing ou des questions de cybersécurité.

Le DPO va donc :

• piloter la question des données personnelles de manière transverse ;
• mettre en place un certain nombre de règles d’organisation, des mesures, des outils et des bonnes pratiques ;
• suivre que les mesures mises en place respectent le principe et être capable de pouvoir le prouver en cas de contrôle de la CNIL.

💡Pour remplir son rôle de manière optimale, le DPO peut utiliser une fiche projet RGPD pour travailler avec les différents chefs de projet. Elle détaille les différentes phases et les actions à mettre en place pour garantir le caractère Privacy by design du projet.

Pour en savoir plus sur le rôle du DPO :

© CNIL

Le Privacy by default est un corollaire du Privacy by design. Si ce dernier encourage la prise en compte de la protection des données personnelles dès la conception, le Privacy by default va plus loin en faisant appliquer le principe de protection maximale des données de l’utilisateur de facto, sans action nécessaire de la part de l’utilisateur.

Il faut empêcher la violation de la vie privée grâce à la mise en place de mesures préventives, et non correctives. En effet, une fois qu’il y a eu abus ou violation des données à caractère personnel, le mal a été fait. Des actions de correction auraient alors pour but d’empêcher de futurs problèmes.

Comme nous l’avons vu précédemment, le concept de Privacy by default fait partie intégrante du Privacy by design. On doit donc prévoir une protection maximale par défaut, c’est-à-dire implicite et automatique, afin que l’utilisateur n’ait pas à agir par lui-même pour être protégé au niveau le plus élevé (case à cocher, paramétrage, etc.). S’il souhaite donner plus de liberté sur ses données, il pourra le faire a posteriori lorsque la finalité ayant justifié la collecte est remplie ou lorsque l’utilisateur concerné par la collecte en a fait la demande.

Tant d’un point de vue technique qu’organisationnel, tout doit être mis en œuvre pour que la récupération des données soit conforme. Leur conservation se doit également de l’être, en les supprimant quand elles n’ont plus lieu d’être conservées pour les finalités définies préalablement.

Garantir aux utilisateurs que la collecte des données se fasse de manière sécurisée. Cette garantie doit s’appliquer tout au long de l’exécution de la prestation, et même au-delà, c’est-à-dire pendant la durée de conservation légale.

Les mesures appliquées pour protéger la vie privée des utilisateurs doivent tenir du respect de la vie privée de l’utilisateur, sans compromettre le bon fonctionnement de l’entreprise. L’idée n’est pas d’opposer, mais de faire converger ces intérêts, en conciliant vie privée et sécurité des données. C’est même un avantage concurrentiel que d’offrir cette assurance aux utilisateurs, et peut jouer dans le capital confiance et l’image de marque.

Les pratiques de collecte et de traitement des données doivent être affichées en toute transparence, tout comme la finalité de cette collecte. C’est pourquoi l’entreprise doit rédiger et rendre visible de tous sa politique de confidentialité.

Cette notion, qui place l’intérêt des utilisateurs au premier plan et au centre de toutes les réflexions, est intrinsèquement présente dans tous les principes. Il incombe aux entreprises la responsabilité de se doter des bons systèmes et outils afin de se conformer aux contraintes légales. Il faut également adopter des pratiques éthiques à tous les niveaux de l’entreprise, afin que chacun ne collecte que les informations nécessaires et les traite avec précaution.

Appliquer le Privacy by design est un challenge exigeant à relever pour les entreprises et les organisations, tant d’un point de vue technique qu’organisationnel.

Par exemple, pour pouvoir mettre en place un système de collecte des données, il faut pouvoir être techniquement outillé pour les vérifier, les modifier et les supprimer a posteriori.

Voyons quelques mesures concrètes pouvant vous aider à appliquer le Privacy by design.

Cette technique de structuration des données rend plus difficile l’identification d’un individu, à moins de disposer d’autres informations complémentaires. Les données sont classées et dissociées par utilité dans une base de données dédiée à cette finalité.

Appliquer le principe du strict minimum est rendu techniquement possible grâce aux « Privacy Enhancing Technologies », qui permettent aux utilisateurs de garder le contrôle sur leurs données. Ils peuvent ainsi les minimiser et même les anonymiser si tel est leur souhait.

Ce protocole sécurisé permet d’apporter une preuve mathématique d’authentification et d’identification d’un utilisateur, sans pour autant révéler d’autres informations.

Les frameworks de travail

Dès le lancement d’un nouveau service, produit, projet ou d’une nouvelle fonctionnalité, il faut s’assurer que l’on est bien dans le respect des mesures de protection de la vie privée. Pour travailler plus efficacement, il est recommandé d’utiliser des frameworks de travail prévus à cet effet. Ce type de document est un bon point de départ pour vous permettre de vérifier que vous cochez toutes les cases requises par le RGPD.

Êtes-vous bien certain·e que votre entreprise est « Privacy by design » ? Utiliser des outils « RGPD compliant », et surtout digitaliser votre conformité peuvent vous permettre de ne plus vous poser la question et ne prendre aucun risque de sanction. Vous gérez vos données en toute sérénité et avec beaucoup plus de rapidité et d’efficacité !

Ces solutions RGPD en ligne vous permettent plus aisément de :

• réaliser des cartographies de traitement des données ;
• faire le travail d’audits de conformité RGPD ;
• centraliser et suivre toute la documentation de conformité ;
• mener des études d’impact de risque de sécurité conformes à la CNIL ;
• créer des fiches projet personnalisables à partir de modèles pour faciliter le travail avec les chefs de projets ;
• piloter l’avancement de la conformité de tous les projets ;
• catégoriser les données selon leur finalité ;
• rester en conformité au gré des évolutions de la loi ;
• conserver les preuves de consentement, etc.

🛠 Parmi les acteurs de conformité RGPD les plus réputés du marché, vous pouvez vous tourner vers :

• Witik : c'est une plateforme française de mise en conformité RGPD qui accompagne les PME & ETI dans le pilotage de leurs différents programmes de conformité (RGPD, loi Sapin II, règlement ePrivacy, ISO…). Pour garantir le caractère Privacy by design de votre entreprise et projet, Witik vous donne accès à de nombreuses fonctionnalités : formations, audit et  modèles de registres personnalisables conçus par des DPO, gestion des consentements intégrant un A/B Test en natif, reporting et attestation de suivi, et bien plus encore !
• Data Legal Drive,
• Central Consent Manager,
• Compliance Booster,
• Datae.

Intégrer les principes du Privacy by design dans tous les projets nécessitant de récolter des données est la meilleure pratique à adopter pour respecter le RGPD sans impacter négativement l’entreprise. Bien respectés, ces principes impliquent l’application de mesures qui peuvent même agir bénéfiquement sur l’entreprise.

Le Privacy by using prône l’empowerment des utilisateurs vis-à-vis de leurs données personnelles. En mettant à leur disposition des informations sur la finalité de leurs données et les outils techniques pour gérer eux-mêmes le niveau de confidentialité, ils acquièrent une autonomie. Cela les rend enclins à donner plus de liberté aux entreprises sur l’utilisation de leurs données. Avec un consentement élargi, celles-ci peuvent lever certains freins, agrandir le champ des possibles en proposant plus d’innovations et mieux répondre aux besoins des utilisateurs.

Une responsabilité partagée des données serait-elle la clé d’un marché plus innovant ? Qu’en pensez-vous ?