Explication de la notion de « Privacy By Design

Face aux préoccupations croissantes en matière de protection de la vie privée aux États-Unis et dans le monde entier, il est devenu essentiel de développer un système qui donne la priorité à la protection de la vie privée dès la conception. Bien que la protection des données dès la conception soit un concept nébuleux et qu’il puisse sembler exagéré à première vue pour certaines organisations comme Apple, Google, Facebook, Microsoft, Amazon et bien d’autres, il est clair qu’un engagement en faveur de la protection des données – par la conception – doit être nécessaire pour ces organisations. Il ne fait aucun doute que le Privacy By Design devient de plus en plus populaire à mesure que les données tombent entre les mains de plus en plus d’entreprises et d’organisations dans le monde, tant en termes de collecte que de gestion des données. Sources : 1,3,9]

La protection des données par la conception s’adresse à tout le monde, et sa mise en œuvre reflète un engagement en faveur de la protection des données par la conception et de la vie privée par la conception, non seulement aux États-Unis mais aussi dans de nombreux autres pays. La protection des données par la conception est un élément central du GDPR, tout comme la protection des données et la conception, qui s’applique non seulement aux contrôleurs de données, mais à tous les détenteurs de données. Il existe un certain nombre de contrôleurs qui entrent dans le champ d’application du RGPD, comme des entreprises telles que Apple, Google, Facebook, Microsoft, Amazon et bien d’autres. [Sources : 2,2,5]

Les entreprises qui ne mettent pas en pratique la protection des données par la conception ou les contrôles de protection des données peuvent montrer qu’elles ne mettent pas en œuvre la protection des données par la conception dans leurs politiques de protection des données ou qu’elles n’ont pas mis en œuvre la protection des données par la conception par défaut, comme l’indique explicitement le GDPR. Les entreprises doivent commencer à mettre en œuvre des processus et des procédures internes pour répondre à ces exigences. [Sources : 17,9]

Toutefois, le Commissaire à l’information et à la protection des données de l’Ontario a publié des conseils sur la façon dont les organisations peuvent opérationnaliser de manière constructive la protection des données, ce qui peut être utile. Le concept sous-jacent est exprimé dans le guide Privacy by Design Guide to Information Privacy and Data Protection, élaboré par le Commissaire à l’information et à la protection des données de l’Ontario et la Commission canadienne de protection de la vie privée de l’Ontario. Sources : 6,6]

Le cadre Privacy by Design a été proposé par le Dr Ann Cavoukian pour prévenir les incidents invasifs. À partir de là, elle a créé un cadre visant à intégrer la protection de la vie privée dans la conception des politiques et des procédures de protection des données, afin d’obtenir la meilleure protection possible. Sources : 7,4]

Comment comptez-vous introduire le cadre « Privacy by Design » dans vos politiques et procédures de protection de la vie privée et dans vos politiques de confidentialité ? [Sources : 16]

Privacy by Design signifie que toute mesure prise par une entreprise qui implique le traitement de données personnelles doit être prise en tenant compte de la protection des données et de la vie privée à chaque étape. Elle exige que les responsables du traitement des données et les fiduciaires tiennent compte des principes visant à garantir le respect de la vie privée et l’accessibilité des utilisateurs et à renforcer les options conviviales. Utiliser des modèles pour les politiques de confidentialité afin d’être assurés de fournir aux utilisateurs les informations nécessaires pour respecter les principes de confidentialité de conception. Le navigateur met en œuvre le principe de confidentialité et encourage les consommateurs à utiliser l’assistant de confidentialité lorsqu’ils installent ou mettent à jour leur navigateur pour la première fois. [Sources : 3,11,8,15]

Cavoukian a publié un outil de diagnostic et un cahier d’exercices de conception par conception qui permettent aux entreprises de déterminer comment elles se conforment aux principes de conception. Contribuez à l’intégration de la vie privée dans la conception en réalisant une évaluation de l’impact sur la vie privée et la protection des données dès le début du projet. Sources : 5,15]

Le commissaire à l’information et à la protection de la vie privée de l’Ontario dispose également d’un guide complet sur la protection de la vie privée et les principes de conception. L’article 25 communique l’ensemble du GDPR et les principes de la vie privée par la conception dans le processus de conception. Sources : 5,14]

Le cadre connu sous le nom de Privacy by Design (PbD) permet d’anticiper, de gérer et de prévenir les problèmes de protection des données avant qu’une seule ligne de code ne soit écrite. Il n’attend pas qu’un risque de protection des données survienne ; il vise à prévenir les atteintes à la vie privée et, une fois qu’elles se sont produites, à y remédier. Privacy by design n’attend pas qu’un risque de protection des données se produise ; il vise à le prévenir et à y remédier une fois qu’il s’est produit. Privacy by design attend qu’un risque de protection des données se produise : il vise à le prévenir et à y remédier. [Sources : 0,0,10]

Elle vise à inclure des situations et des objectifs légitimes et à éviter des problèmes tels que le respect de la vie privée et la sécurité en essayant de satisfaire tous les intérêts. Privacy by Design y parvient en montrant que les deux sont possibles – et bien plus souhaitables. PET distingue le respect de la vie privée des autres approches visant à protéger la vie privée des clients, en notant que les utilisateurs sont déjà conscients des risques de la vie privée en ligne. [Sources : 8,12,10]

L’auteur affirme que sa déclaration sur le principe de privacy by design reste vague et peut être comprise comme une critique. Le concept de privacy by design ne devrait pas être un problème trop important, car la plupart des entreprises ont déjà des politiques de confidentialité strictes et tiennent compte des violations de données lorsqu’elles construisent de nouveaux systèmes. On peut faire plus pour protéger les données personnelles de nos utilisateurs, mais en cas de doute, il faut se souvenir des principes fondateurs du Privacy By Design et se demander : de quoi s’agit-il, pourquoi le GDPR l’exige-t-il et comment le mettre en œuvre dans sa propre entreprise ? [Sources : 10,13,3,2]

Sources :

[0] : https://www.smashingmagazine.com/2017/07/privacy-by-design-framework/
[1] : https://www.termsfeed.com/blog/privacy-design/
[2] : https://www.privacypolicies.com/blog/privacy-by-design/
[3] : https://termly.io/resources/articles/privacy-by-design/
[4] : https://www.borealisai.com/en/blog/respect-ai-privacy-design/
[5] : https://www.michalsons.com/blog/privacy-design-gdpr/24364
[6] : https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/accountability-and-governance/data-protection-by-design-and-default/
[7] : https://www.secretstache.com/blog/integrating-privacy-by-design/
[8] : https://lawtimesjournal.in/pdp-bill-the-concept-of-privacy-by-design/
[9] : https://econsultancy.com/gdpr-requires-privacy-by-design-but-what-is-it-and-how-can-marketers-comply/
[10] : https://en.wikipedia.org/wiki/Privacy_by_design
[11] : https://www.ics.ie/news/what-is-privacy-by-design-a-default
[12] : https://www.morganlewis.com/pubs/2019/03/the-edata-guide-to-gdpr-what-is-privacy-by-design-and-by-default
[13] : https://www.privacytrust.com/gdpr/privacy-by-design-gdpr.html
[14] : https://www.imperva.com/learn/data-security/gdpr-article-25/
[15] : https://cdt.org/insights/the-role-of-privacy-by-design-in-protecting-consumer-privacy-1/
[16] : https://www.complianceforge.com/cybersecurity-for-privacy-by-design-c4p
[17] : https://sozodesign.co.uk/blog/gdpr/gdpr-2018-data-protection-by-design-and-by-default/