Application des principes de la confidentialité des données

Objectifs de formation

Une fois cette unité terminée, vous pourrez :

• Énumérer les 10 principes clés de la confidentialité
  
• Expliquer comment ces principes peuvent être mis en œuvre dans votre organisation
  

Principes de la confidentialité

Maintenant que vous avez une bonne connaissance des bases de la confidentialité des données, explorons certains principes et comment ils s’appliquent à votre organisation. Bien que les exigences légales varient à l’échelle mondiale, il existe certains principes communs qui constituent le fondement de nombreuses lois sur la confidentialité. Creusons ces principes que nous avons présentés dans l’unité précédente.

Équité et transparence

Les entreprises doivent traiter les données à caractère personnel dans le respect de la loi, de manière juste et transparente.

Votre organisation peut mettre en œuvre ce principe en traitant les données à caractère personnel conformément aux lois en vigueur et aux engagements de confidentialité ou aux accords de niveau de service (SLA) conclus avec vos clients et utilisateurs finaux. Comme mentionné plus tôt, il est également judicieux de publier une déclaration de confidentialité sur votre site Web, détaillant quelles données à caractère personnel sont collectées en votre qualité de responsable du traitement et pourquoi, y compris les informations collectées via les cookies et les analyses. Dans votre déclaration de confidentialité, il est important d’indiquer les types d’informations que vous ne collecterez pas. En fin de compte, quelle que soit la manière dont vous recevez des données de confidentialité, vous devez obtenir un consentement avant de les traiter. 

Limitation des finalités

Les entreprises doivent traiter les données à caractère personnel uniquement à des fins spécifiques, explicites et légitimes. 

Au sein de votre organisation, cela signifie que chaque fois que vous collectez des données à caractère personnel, vous communiquez clairement et précisément la manière dont les données seront utilisées. Dans la plupart des cas, si vous souhaitez utiliser les données pour autre chose que ce qui a été indiqué, vous devez présenter une raison légale valable et demander l’autorisation avant le traitement.

Minimisation des données

Les organisations ne devraient collecter que le minimum de données nécessaires à la finalité du traitement en question. 

Votre organisation ne doit pas collecter de données à caractère personnel à moins que cela ne soit nécessaire pour exécuter les services que vous proposez. Conformément au Règlement général sur la protection des données (RGPD), les données à caractère personnel doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées », tandis que la loi HIPAA (Healthcare Insurance Portability and Accountability Act) aux États-Unis appelle ce concept la règle du « minimum nécessaire ».

Comment fonctionne la minimisation des données ? Supposons que vous créez une application mobile interne pour la navette gratuite offerte par votre organisation à ses employés. Les données que l’application doit collecter et traiter comprennent des données à caractère personnel des employés telles que leur adresse personnelle et professionnelle, ainsi que d’autres informations de base (à savoir le nom et le numéro de téléphone). Cependant, l’application n’a pas besoin de la date de naissance, de l’origine ethnique, de l’état de santé ou des informations financières des employés. Étant donné que ces informations supplémentaires ne sont pas requises, vous ne devez pas les collecter.

Précision

Les données à caractère personnel doivent être exactes et à jour.

En tant que fournisseur de services de vos clients, votre organisation doit s’assurer que vos systèmes contiennent des enregistrements précis et reflètent les modifications apportées par les clients aux données, lorsqu’elles ont lieu. Toute donnée considérée comme inexacte doit disposer de mécanismes pour être effacée ou corrigée immédiatement.

Suppression et rétention des données

Les organisations ne doivent conserver les données à caractère personnel que le temps nécessaire et aux fins initialement prévues.

Votre organisation ne doit pas conserver les données pendant une période indéfinie, même si elles pourraient être utilisées à l’avenir. Des délais clairs doivent être établis concernant le moment où les données sont supprimées avec une justification du motif pour lequel les données sont conservées pendant cette durée. Par exemple, vous devrez peut-être conserver les fichiers journaux de sécurité pendant une certaine période pour identifier et suivre les comportements malveillants. Cependant, cette durée doit tout de même rester limitée et justifiée. Vous devez également connaître les lois sur la rétention des données pour des types de données spécifiques (tels que les documents juridiques) dans le pays où votre organisation exécute ce service.

Sécurité

Les entreprises doivent mettre en œuvre les mesures de sécurité techniques et organisationnelles appropriées pour protéger les données à caractère personnel des traitements non autorisés et des divulgations, pertes, destructions et altérations accidentelles. 

Votre organisation doit s’assurer que des systèmes de sécurité protègent adéquatement les données. Vous pouvez également contribuer à protéger et à sécuriser les données que vous stockez grâce à des techniques d’amélioration de la confidentialité. En voici quelques-unes.

• La ségrégation des données est la répartition des données en différentes catégories dans le but de diviser ou de restreindre l’accès à différentes classes de données. Elle permet à votre organisation de créer des règles d’accès distinctes pour des ensembles de données ou des groupes d’utilisateurs distincts, garantissant que seules les personnes autorisées y ont accès.
  
• Le cryptage est une méthode de sécurité par laquelle les informations sont brouillées dans un format illisible qui ne peut être consulté ou déchiffré que par un utilisateur disposant de la bonne clé. Le cryptage protège la confidentialité des données.
  
• La pseudonymisation remplace les informations permettant d’identifier une personne par un pseudonyme ou un identifiant. Cela réduit les chances que les enregistrements de données à caractère personnel et les identifiants puissent permettre l’identification d’un individu.
  
• L’anonymisation est le processus qui protège des informations privées ou sensibles en les effaçant, en les masquant ou en les cryptant. Elle supprime tous les identifiants associés à une personne.
  

D’autres mesures de sécurité peuvent exister dans votre organisation pour contribuer à la protection des données. Il est recommandé que tous les employés ayant accès aux systèmes informatiques reçoivent une formation sur la confidentialité, quel que soit leur poste, et lisent et acceptent les politiques d’utilisation acceptables des employés.

Responsabilité

Votre organisation doit instaurer des politiques et mettre en œuvre des processus qui démontrent que vous êtes en conformité avec les lois, réglementations et principes relatifs à la confidentialité des données.

Vous devez prendre des mesures pour faire progresser la confidentialité dès la conception et la confidentialité par défaut.

• Protection de la vie privée dès la conception : la confidentialité dès la conception a lieu au moment où une organisation commence à planifier des nouveaux processus ou activités, ou leur amélioration, ou lors du développement d’un nouveau produit, service ou fonctionnalité.
  

Lorsque votre organisation crée un produit, elle doit tenir compte des politiques et des principes de confidentialité lors de la phase de planification et de conception. Il est important d’inclure toutes les parties prenantes concernées dans ce processus de planification et de conception, ainsi que les équipes juridiques, pour s’assurer que la confidentialité est une priorité et que votre organisation respecte la loi.

• Protection de la vie privée par défaut : les organisations doivent choisir par défaut les paramètres les plus respectueux de la vie privée lors de la collecte, du traitement ou du stockage des données à caractère personnel. Par exemple, si vous vous inscrivez sur un réseau social en ligne et que vous prévoyez d’utiliser l’un de ses services, ce réseau peut indiquer qu’il respecte le principe de confidentialité par défaut, et qu’il ne nécessite que votre nom et votre adresse e-mail pour fonctionner. Cependant, si le compte ainsi créé commence immédiatement à partager votre position ou toute autre donnée en dehors du nom et de l’adresse e-mail, il n’adhère pas au principe de confidentialité par défaut.
  

Droits individuels

Les lois sur la confidentialité détaillent également les droits d’une personne concernée sur ses données à caractère personnel. Ces droits incluent :

• Demande d’accès de la personne concernée : les personnes concernées ont le droit d’accéder à une copie de toutes les données à caractère personnel qu’un responsable du traitement détient à leur sujet et de recevoir la confirmation qu’un responsable du traitement traite leurs données à caractère personnel. Elles ont également droit à des précisions sur les finalités du traitement, les catégories traitées, la durée de conservation des données et avec qui les données à caractère personnel ont été partagées.
  
• Droit d’opposition : les personnes concernées peuvent, dans certains cas, s’opposer à l’utilisation de leurs données à caractère personnel.
  
• Correction des données : les personnes concernées peuvent demander que leurs données à caractère personnel soient corrigées ou complétées si elles sont inexactes ou incomplètes.
  
• Limitation : les personnes concernées peuvent demander à une entreprise de cesser de traiter leurs données à caractère personnel dans des circonstances limitées.
  
• Droit à la suppression : également appelé « droit à l’oubli » ou, dans le cadre du RGPD, droit à l’effacement, il permet aux personnes concernées de demander à un responsable du traitement de supprimer leurs données à caractère personnel sous certaines conditions. Étant donné que les États-Unis ont une approche sectorielle en matière de confidentialité, la plupart des lois américaines sur la confidentialité n’ont pas ce droit. La loi COPPA (Children’s Online Privacy Protection Act) constitue cependant une exception.
  
• Portabilité des données : lorsque cela s’applique au type de traitement, les personnes concernées ont le droit de demander à un responsable du traitement de fournir leurs données à caractère personnel dans un format exportable afin qu’elles puissent transmettre leurs données à un autre responsable du traitement.
  

L’obligation de votre organisation en tant que fournisseur de services est d’aider vos clients à gérer ces demandes. En tant que responsable du traitement, vous devez respecter les demandes des personnes concernées. Les systèmes que vous utilisez pour gérer les données à caractère personnel doivent permettre de répondre à ces demandes, pour ce qui est de l’accès, la correction, la suppression et la portabilité.

Transferts internationaux

Certains pays et régions, tels que l’Union européenne (UE), restreignent le transfert des données à caractère personnel en dehors du pays ou de la région d’origine, sauf si la destination a mis en place des garanties suffisantes pour garantir la protection des données. Si votre organisation opère à l’international, vous devez mettre en œuvre des mesures garantissant que vous pouvez légalement transférer les données à caractère personnel au-delà des frontières.

Analyse d’impact relative à la protection des données 

Lorsque votre organisation collecte, stocke ou utilise des données à caractère personnel, les personnes dont vous traitez les données sont exposées à des risques. Ces risques vont du vol avec l’intention d’usurper l’identité d’un individu à la divulgation accidentelle. Dans le cadre du RGPD, votre organisation est tenue de mener une analyse d’impact relative à la protection des données (AIPD). Selon la Commission nationale de l’informatique et des libertés (CNIL), une AIPD est conçue pour évaluer les données susceptibles d’entraîner un risque élevé pour les droits et libertés des personnes, et pour identifier et minimiser ces risques le plus tôt possible. Votre organisation peut envisager de mener une AIPD avant de lancer des activités de collecte ou de traitement de données qui présentent des risques plus élevés pour les personnes concernées.  

Conclusion

Vous avez maintenant une meilleure connaissance des principes de la confidentialité et de la manière de les appliquer dans votre organisation. Dans l’unité suivante, vous découvrirez les données client et le rôle que jouent les dépositaires des données pour les protéger.

Ressources

• Site externe : CNIL : Manuel sur l’Analyse d’impact relative à la protection des Données à Caractère Personnel
  
• Site externe : Forcepoint : Qu’est-ce que le cryptage des données
  
• Site externe : Trend Micro : Qu’est-ce que la pseudonymisation
  
• Site externe : Imperva : Qu’est-ce que l’anonymisation des données