Stella

Le privacy by design, qu’est ce que c’est ?

Mis en avant par le RGPD, le concept du Privacy by Design connait une hausse d’intérêt. Mais saviez-vous que ce concept n’est pas tout jeune ?

Un peu d’histoire

En effet, les premières traces du Privacy by Design remontent à l’an 1995 où il fût décrit par Ann Cavoukian ; et formalisé la même année dans un rapport écrit par la Commissaire à l’information et à la vie privée de l’Ontario, la CNIL néerlandaise et l’organisation néerlandaise pour la recherche scientifique appliquée.

Ce concept a pour but de préserver la liberté de choix des utilisateurs et leur contrôle sur les données les concernant en mettant au cœur du développement de services les problématiques liées à la vie privée.

Les sept principes du Privacy by Design

Le Privacy by Design se définit autour de sept principes.

Proactif plutôt que réactif, préventif plutôt que correctif :
Les incidents liés à la vie privée doivent être anticipés au lieu d’attendre qu’ils arrivent pour réagir. Ainsi, il y a moins de risques qu’un incident ait lieu.
Privacy by default :
La confidentialité est le paramètre par défaut. L’utilisateur ne doit pas avoir besoin d’aller modifier des paramètres pour que sa vie privée soit respectée. Cette notion rejoint celle de minimisation de la collecte de données également abordée par le RGPD.
La confidentialité dès la conception :
La confidentialité est prise en compte dès la conception d’un service. Ce ne doit pas être quelque chose qui est ajouté par la suite, mais au contraire un élément essentiel.
Ne pas nuire aux fonctionnalités :
Le respect de la vie privée ne doit pas être un frein aux diverses fonctionnalités. L’équilibre entre les intérêts du fournisseur de service et ses utilisateurs est également recherché.
La sécurité de bout en bout :
Des mesures de sécurité sont prises afin de garantir du mieux possible la sécurité des données de leur collecte à leur destruction.
Visibilité et transparence :
Toutes les parties prenantes autour d’un service ont une visibilité sur ce qui est fait, que ce soit pour les fournisseurs ou les utilisateurs. Cette transparence permet d’avoir une meilleure confiance entre les différents acteurs.
Le respect de la vie privée des utilisateurs :
Surtout, les intérêts des utilisateurs doivent être au centre des préoccupations, que ce soit en mettant en place des mesures de sécurité fortes, en mettant à disposition une information claire, etc.

Appliquer les principes du Privacy by Design

Malgré son adoption dans de nombreux pays, le Privacy by Design rencontre des critiques, essentiellement car ses principes sont jugés trop flous et complexes à mettre en place dans certains systèmes. Beaucoup de paramètres sont à prendre en compte et difficiles à implémenter.

Mais des recommandations existent pour aider à l’application du Privacy by Design, comme celles de l’ENISA. Parmi celles-ci on retrouve :

Minimiser :
Uniquement les données strictement nécessaires sont collectées. Il ne peut rien arriver aux données que l’on ne possède pas.
Dissimuler :
Les liens entre les données sont dissimulés, ainsi que les données elles-mêmes. On peut chiffrer les données, utiliser différents réseaux lors des transferts, anonymiser, pseudonymiser…
Séparer :
Les données sont stockées à différents endroits de façon à ce que toutes les données sur un même individu ne se retrouvent pas toutes ensemble.
Aggréger :
Suivant les besoins, les données peuvent être aggrégées. De cette façon, les risques d’identification des personnes sont par exemple réduits.
Informer :
Pour répondre au principe de transparence, les différents acteurs sont informés des traitements, des technologies utilisées, des fuites de données si cela se produit…
Contrôler :
Les utilisateurs doivent être capable d’exercer leurs droits sur les données les concernant, et de le faire d’une manière sécurisée mais aussi intuitive.
Renforcer :
Une politique de sécurité doit être en place et revue régulièrement.
Démontrer :
Être capable de montrer que n’importe quoi n’est pas fait avec les données, qu’il y a une politique de sécurité et qu’elle est respectée.

Le Privacy by Design est une composante importante dans le respect de la vie privée des individus. Il apporte donc des éléments de réflexion plus que de réponse sur comment mettre l’utilisateur et ses droits au centre de la conception d’un service.