RGPD – Protection de la vie privée dès la conception

« Privacy by Design » et « Privacy by Default » sont des sujets fréquemment discutés en rapport avec la protection des données. Les premières réflexions sur le « Privacy by Design » ont été exprimées dans les années 1970 et ont été incorporées dans la directive de protection des données RL 95/46/EC dans les années 1990. Selon le considérant 46 de cette directive, des mesures techniques et organisationnelles (MTO) doivent être prises dès la planification d’un système de traitement pour protéger la sécurité des données.

Le terme « Privacy by Design » signifie simplement « protection des données par la conception technologique ». Derrière cela se cache l’idée que la protection des données dans les procédures de traitement des données est mieux respectée lorsqu’elle est déjà intégrée dans la technologie lors de sa création. Néanmoins, il existe encore une incertitude quant à ce que signifie « Privacy by Design » et comment on peut le mettre en œuvre. Cela est dû, d’une part, à une mise en œuvre incomplète de la Directive dans certains États membres et, d’autre part, au fait que le principe « Privacy by Design », qui est dans le Règlement général sur la protection des données, stipule que l’approche actuelle dans les lignes directrices de protection des données, exige que les responsables incluent déjà des définitions des moyens de traitement TOMs lors de leur définition afin de remplir les principes et exigences de « Privacy by Design ». La législation laisse entièrement ouvert quelles mesures de protection exactes doivent être prises. À titre d’exemple, on ne doit nommer que la pseudonymisation. Aucun autre détail n’est donné dans le considérant 78 du règlement. Au moins dans d’autres parties de la loi, le chiffrement est nommé, de même que l’anonymisation des données comme mesures de protection possibles. De plus, l’authentification des utilisateurs et la mise en œuvre technique du droit d’opposition doivent être prises en compte. En outre, lors du choix des précautions, on peut utiliser d’autres normes, telles que les normes ISO. Lors du choix dans des cas individuels, il faut s’assurer que l’état de l’art ainsi que des coûts de mise en œuvre raisonnables sont inclus.

En plus des critères nommés, le type, la portée, les circonstances et la finalité du traitement doivent être pris en compte. Cela doit être mis en contraste avec les différentes probabilités d’occurrence et la gravité des risques liés au traitement. Le texte de la loi conduit à conclure que souvent plusieurs mesures de protection doivent être utilisées conjointement pour satisfaire aux exigences légales. En pratique, cette considération est déjà effectuée à un stade précoce de développement lors de la prise de décisions technologiques. Une certification reconnue peut servir d’indicateur aux autorités que les personnes responsables ont respecté les exigences légales de la « Protection de la vie privée dès la conception ».