Comprendre le RGPD: focus sur le principe de privacy by design, ou de protection de la vie privée dès la conception

1 - Le principe de privacy by design: décryptage

Le principe de privacy by Design (ou de protection de la vie privée dès la conception) impose aux responsables de traitement d'anticiper, dès l'étape de définition d'un projet, toutes les contraintes juridiques en matière de protection des données à caractère personnel. Que ce soit dans le cadre du développement d'une application ou de l'élaboration d'un logiciel, le RGPD exige ainsi l'intégration des problématiques "Informatique et Libertés" à tous les stades du cycle de vie du projet: depuis la définition des besoins et des spécifications jusqu'au déploiement et à la maintenance.

2 - Implications opérationnelles

Opérationnellement, le privacy by design pourra bousculer vos modèles de gouvernance de projets informatiques. Il conviendra d'attirer l'attention des opérationnels sur le respect des dispositions applicables et challenger les métiers entre autres à propos des finalités poursuivies, des données réellement nécessaires qui doivent être collectées, des durées de conservation minimales, etc.

La mise en oeuvre du principe de privacy by design peut se décliner en une checklist d'(au moins) 6 corollaires essentiels qui doivent apparaître d'une manière ou d'une autre dans le cahier des charges de votre projet de développement:

1 - Vous devez veiller à respecter le principe de minimisation, et ce dès la phase d'étude préalable, en poursuivant l'objectif de réduire la quantité des données collectées au strict minimum. Illustration: la collecte de données de géolocalisation n'est pas indispensable à la pérennité d'une application de commande de vin en ligne. Un champ flagué comme facultatif dans un questionnaire a d'immenses chances de pouvoir être considéré comme superflu et peut être ainsi écarté. Dans la mesure du possible, on privilégiera l'utilisation de listes déroulantes plutôt que l'emploi de champs libres.

2 - Votre cahier des charges doit préciser où et de quelle manière les informations exigées par le Règlement seront communiquées aux personnes concernées. Pour reprendre l'exemple précédent, l'éditeur doit prévoir, entre autres, d'indiquer dans le formulaire de création du compte utilisateur que les données qu'il collecte à travers son application seront susceptibles d'être transférées au réseau des vignerons indépendants du pays Dacquois (façon de rappeler que les tiers doivent être clairement identifiées).

3 - Vous devez également définir avec une granularité aussi fine que possible les modalités d'exercice des droits des personnes et la manière dont les réponses peuvent être fournies. Une automatisation des réponses aux demandes de droits d'accès ou de portabilité peut ainsi être envisagée.

4 - Il convient aussi de déterminer les durées de conservation adéquates et d'étudier les modalités de suppression dès la phase de conception. Il pourra être décidé dès la phase de conception de mettre en place un effacement automatique des données après X mois suivant la désinstallation de l'application par l'utilisateur.

5 - Il faut envisager dès le stade de la conception et dans la mesure du possible, la pseudonymisation des données à caractère personnel, pour minimiser l'impact potentiel d'un vol de données.

6 - Enfin, la création et la gestion des profils utilisateurs donnant des droits d'accès aux données (et d'une manière plus générale la prise en compte de l'ensemble des exigences de sécurité) doivent également être intégrées à la réflexion.

L'auteur

Romain Maillard, senior manager au sein du département de BDO France dédié aux activités de conseil. Depuis 2009, il accompagne ses clients dans leur projet de cartographie des risques, dans l'évaluation de leurs procédures de contrôle interne, et intervient sur de nombreux sujets liés à la compliance. Romain apporte également son expertise dans le cadre de la structuration de dispositifs de lutte anti-fraude et conduit des missions d'investigations en exploitant les données comptables et financières. Romain est Certified Fraud Examiner et diplômé de Neoma (ESC Rouen).