Les informations recueillies sur ce formulaire sont enregistrées dans un fichier informatisé par Smart Global Privacy pour vous transmettre des informations commerciales concernant Smart Global Privacy. Elles sont conservées pendant 18 mois et ne seront pas transmises à des tiers. Conformément à la loi, vous pouvez exercer votre droit d'accès aux données vous concernant et les faire rectifier en nous contactant: hello@smartglobalprivacy.com

La dimension pratique du respect de la vie privée dès la conception : le Design of the Privacy

Depuis 1995, Ann Cavoukian, devenue plus tard Commissaire à l’information et à la vie privée de l’Ontario (CANADA) a proposé la formule et le concept de Privacy by Design, qui au fil du temps a été érigé en principe et repris dans les productions académiques et professionnelles1. En octobre 2010, les responsables de la réglementation présents à la Conférence internationale des commissaires à la protection des données et à la vie privée ont adopté à l’unanimité une résolution reconnaissant la protection intégrée de la vie privée en tant qu’élément essentiel de la protection fondamentale de la vie privée. C’est ainsi que le législateur européen a intégré cette notion2 dans le cadre juridique européen comme un outil essentiel pour assurer la confiance des citoyens de l’Union.

Concrètement, le Privacy by Design consiste à étudier l’impact sur la vie privée dès le départ d’un projet de traitement des données à caractère personnel.

afin d’apprécier et de minimiser les risques sécuritaires et de non-respect de la réglementation. Cette approche préventive vise également à garantir le respect de la vie privée dans le fonctionnement des systèmes techniques, et ce, pendant toute la période d’utilisation des données jusqu’à leur obsolescence informationnelle.

Le Privacy by Design suppose également une protection par défaut : le Privacy by default (les paramètres de confidentialité les plus stricts devraient s’appliquer sans aucune action de l’utilisateur final). Ces deux concepts ont été introduits dans le droit positif par le RGPD dans son article 253 qui met à la charge de tout responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir le Privacy by Design.

Ces aspects constituent une réelle innovation pouvant faciliter l’articulation avec – un des principes clés de la loi, le principe de transparence -, lequel permet d’exiger que toute information adressée au public ou à la personne concernée soit concise, aisément accessible et facile à comprendre, et formulée en des termes clairs et simples et, en outre, lorsqu’il y a lieu, illustrée à l’aide d’éléments visuels. Pour le législateur européen, concernant la gestion de la protection des données, la transparence dans les informations délivrées à la personne concernée, doit être appréhendée tant sur le fond que sur la forme. L’enjeu de cette consécration pour les professionnels est de remettre à plat, la manière et les éléments mis à disposition à tous les utilisateurs de produits ou services numériques. Légitimement, le Privacy by Design consiste à appliquer les principes de protection des données dès la conception, il s’agit donc d’intégrer et d’appliquer la transparence sur les données personnelles et la collecte du consentement dès la conception des interfaces. Cette transparence doit donc faire partie intégrante du produit et est destinée à enrichir agréablement ses fonctionnalités et non être ajoutée à posteriori. Une information peu claire et/ou accessible ne sera pas jugée conforme, la présence de l’information ne suffit pas : la manière de la présenter compte tout autant.

Dans son Cahier IP4 de janvier 2019 (Page 10), le laboratoire de la CNIL (LINC) soulignait en ces termes: “ Si l’article 25 ne semble pas explicitement s’adresser aux designers, il nous permet cependant de nous intéresser et de pointer le « design de la privacy », la manière dont les différentes techniques du design sont utilisées dans la mise en scène des services pour – et parfois au détriment de – la protection des données des individus, notamment au regard des grands principes que sont la transparence, le consentement et les droits des individus. Une porte d’entrée vers l’association design et régulation”. Or, la matrice du RGPD place la maîtrise des données pour l’utilisateur (notamment le respect de l’autodétermination informationnelle) au cœur même de la régulation. Le Design appliqué à la transparence sur les données personnelles et l’exercice des droits doit être un levier pour concrétiser les concepts de Privacy by design et by default. Une nouvelle approche de la gestion des données personnelles devrait donc relever du design afin d’être plus intelligible pour les consommateurs finaux.

Pour cela, la conception des architectures qui présentent un traitement de données à caractère personnel à un utilisateur doit fait partie intégrante du devoir de loyauté et de transparence des donneurs d’ordre5. A ce titre, Google a été condamné récemment par la CNIL à 50 millions d’euros notamment pour ne pas avoir obtenu un consentement valable au sens du RGPD lors de l’inscription des utilisateurs sur Android et ne pas avoir rempli son obligation de transparence en termes d’information. En l’espèce, la formation restreinte de la CNIL6 constate que l’architecture générale de l’information choisie par la société ne permet pas de respecter les obligations du Règlement. En effet, les informations qui doivent être communiquées aux personnes en application de l’article 13 sont excessivement éparpillées dans plusieurs documents : Règles de confidentialité et conditions d’utilisation, affiché au cours de la création du compte, puis Conditions d’utilisation et Règles de confidentialité qui sont accessibles dans un deuxième temps au moyen de liens cliquables figurant sur le premier document. Ces différents documents comportent des boutons et liens qu’il est nécessaire d’activer pour prendre connaissance d’informations complémentaires. Un tel choix ergonomique entraine une fragmentation des informations obligeant ainsi l’utilisateur à multiplier les clics nécessaires pour accéder aux différents documents. Celui-ci doit ensuite Consulter attentivement une grande quantité d’informations avant de pouvoir identifier le ou les paragraphes pertinents. Le travail fourni par l’utilisateur ne s’arrête toutefois pas là puisqu’il devra encore recouper et comparer les informations collectées afin de comprendre quelles données sont collectées en fonction des différents paramètres qu’il aura pu choisir….

En résumé, il est reproché à GOOGLE en tant que responsable de traitement d’avoir implémenté une architecture trop générale de l’information ne permettant pas de satisfaire les obligations du Règlement en termes d’information et de transparence à l’égard de ses utilisateurs. En somme, l’information fournie par GOOGLE dans ces plateformes n’était ni accessible ni compréhensible pour une personne non avertie aux enjeux de la vie privée sur le web. Chacun l’aura constaté, le message envoyé par la CNIL met en évidence des enseignements montrant le lien entre la régulation et le Design : o L’insuffisance du design des interfaces dites « CMP » (CONSENT MANAGEMENT PLATFORM) destinées à la collecte pour répondre à l’exigence d’information. o Le design fait désormais partie du triangle de la conformité (juridique, technique et Design) d’après les propos confirmatifs de la Présidente de la CNIL, le 17 janvier 2019 lors du lancement du Cahier IP. o L’autorité de contrôle évoque également que « les investigations correspondent au scénario retenu pour effectuer le contrôle en ligne, à savoir le parcours d’un utilisateur et des documents auxquels il pouvait avoir accès lors de la configuration initiale ». Donc la référence au design de l’interface utilisateur conçue par GOOGLE est déterminante et se rattache aux exigences de Privacy by Design. o Le Legal design et les solutions de la Privacy Tech7 au travers des Privacy Icons peuvent être notamment de premiers éléments de réponse permettant à tout organisme d’afficher de manière claire, lisible sous forme graphique son engagement en matière de protection des données personnelles à destination des utilisateurs.

Certains outils et règles commencent à émerger pour mettre le design au service de la transparence, on peut citer :

1. Les différents jeux d’icônes existent pour simplifier la compréhension comme celles de l’Association PrivacyTech ;

2. La présentation des différentes couches d’information : une information simple et rapide pour tout le monde sur les éléments les plus importants et la possibilité d’aller plus dans le détail pour ceux qui le souhaitent ;

3. Une information et des demandes de consentement contextuelles : ne pas tout demander en une fois mais demander les consentements lorsque cela est pertinent et nécessaire ;

illustration de l’exemple 3 : Prenons le cas d’une application où l’on peut faire des vidéos en direct à diffuser à son réseau, l’application peut demander lorsque la vidéo en direct va commencer si l’utilisateur souhaite activer et afficher la géolocalisation ; plutôt que de le demander à l’installation de l’application. Ceci permet de limiter les actions à l’inscription et d’augmenter les chances d’obtention du consentement, ce qui sert finalement grandement l’application.

4. Lors d’une collecte de consentement non seulement préciser la finalité du consentement mais également aussi en quoi ces données précisément lui sont utiles et la valeur que va en tirer la personne concernée ; 5. Utiliser un langage juridique clair, cela implique qu’une personne de 12 ans doit pouvoir comprendre ce qui est énoncé, aussi bien lors des phases de recueil de consentements que dans la politique de confidentialité ; 6. Comme dans tout bon design : il faut toujours tester ses approches auprès du public et être prêts à changer.

A ce titre, la démarche de transparence8 mise en œuvre par le jeune réseau social français Jollyclick est innovante dans la manière de s’adresser à ses utilisateurs sur le contrôle de leurs données.

Différentes entreprises, dont Visions9, proposent des méthodologies et outils pour adresser cet enjeu et augmenter la transparence. Il est indéniable que tout produit basé sur la donnée personnelle doit mettre le design de ses interfaces et de son expérience au service de la transparence ; non seulement pour être conforme mais également pour acquérir la confiance nécessaire afin de traiter et partager des données personnelles.

Beaucoup de recherche et de règles sur le sujet doivent encore émerger pour répondre à des questions essentielles, par exemple : 1. Sur les icônes : sont-elles compréhensibles ? 2. Sur les consentements : quel degré d’information veulent les personnes ? Mettre la durée de conservation des données ou non ? 3. Sur la transparence : adopter une terminologie commune sur les traitements et les données ?

Dans le sens inverse, il ne faut pas non plus que ce travail sur la présentation et la transparence ne serve de “privacy-washing” à des pratiques organisationnelles peu rigoureuses et une mauvaise gestion des consentements et des droits en général. L’outil VisionsTrust de l’entreprise Visions s’assure du respect des autorisations par le système d’information pour faire en sorte que l’application n’utilise que les données autorisées à chaque moment. De même les entreprises utilisant VisionsTrust sont soumises à un audit au moins bi-annuel indépendant pour assurer que tous les droits sont bien respectés par l’entreprise. Bien évidemment, l’outil se donne les moyens de manière générale de s’assurer de l’intégrité du système, du respect des autorisations accordées par l’utilisateur ainsi que le circuit et les conditions d’exploitation des données.

Il convient donc de promouvoir activement des référentiels Privacy by Design et un travail de standardisation et de bonnes pratiques est à mener sur la gestion au-delà de la présentation du consentement. Par exemple, il est nécessaire d’établir des lignes directrices afin que lorsque l’on développe un moteur de recherche, un algorithme de matching, ou un algorithme de recommandation de contenus, l’on puisse faire en sorte qu’ils fonctionnent avec une granularité d’informations et ne pas les faire dépendre de toutes les données. Les mesures organisationnelles, techniques et de design doivent s’allier complètement pour respecter efficacement et conformément le principe de Privacy by Design. Enlever donc un de ces trois piliers précités, revient à contredire le principe même.

En définitive, avec le temps, doit émerger une matrice commune ou une modélisation commune des grandes règles du design de manière à rendre fluide la compréhension effective des grands principes de la protection de l’utilisateur connecté. Cette innovation ne saurait être possible sans un large consensus des différents acteurs de l’écosystème. Rappelons que le RGPD à travers le Privacy by design se veut, entre autres, comme un instrument de soft law extraterritorial 10à destination des éditeurs non européens. Comment modéliser le schéma de production d’une application ou technique prenant à charge les données personnelles de telle sorte que chaque intervenant qui va poser une ligne de code puisse avoir les informations préventives nécessaires pour rendre son action respectueuse des termes de Privacy by design ?

Un nouveau chapitre est donc à dessiner dans lequel Design, Informatique et Juridique s’allieront pour définir les nouveaux schémas du parcours Client dès la conception des offres. Les clés d’un bon design reposent désormais sur la capacité des marques à capitaliser sur les données collectées loyalement. Elles gagneront donc avantageusement en qualité et en réputation ce qu’elles perdront en quantité. A cela, il conviendrait donc d’ajouter la dimension morale qu’implique la simplicité et la clarté dans l’information à délivrer !

Auteurs: Pape Drame (Hub For Health) & Matthias De Bièvre (Visions)

Références:

1 Ann Cavoukian, Privacy by Design : The 7 Foundational Principles, Information and Privacy Commissioner of Ontario, 2009. https://www.ipc.on.ca/wp-content/uploads/ Resources/7foundationalprinciples.pdf (consulté le 07/12/2018)

2 Le Privacy by Design est basé sur plusieurs principes, 7 au total : ● Conception de mesures préventives et proactives ; ● Protection par défaut (Privacy by default) ; ● Prise en compte des règles sur la protection de la vie privée dans la conception des produits et durant leur utilisation ; ● Protection optimale et intégrale ; ● Assurer la sécurité tout au long de la conservation des données ; ● Visibilité et transparence ; ● Respect de la vie privée des usagers et/ou des cibles du service.

3 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données https://eur-lex.europa.eu/legalcontent/FR/TXT/PDF/?uri=CELEX:32016R0679&from=FR

4 Cahier IP de janvier 2018 du laboratoire de la CNIL, le LINC https://linc.cnil.fr/cahier-ip6-laforme-des-choix 5 Blog juridique sur la protection des données “MEMENTOSAFE”, https://mementosafe.com/condamnation-cnil-rgpd-google-pme-concernees/, article de Marie-Claire Peroux intitulé “Premiere condamnation RGPD GOOGLE 21 janvier 2019, les PME concernées” 6 -Déliberation n°SAN-2019-001 du 21 janvier 2019 prononçant une sanction pécuniaire à l’encontre de la société GOOGLE LLC https://www.cnil.fr/sites/default/files/atoms/files/san2019-001_21-01-2019.pdf

7 Association à but non lucratif qui développe des projets d’innovation collaborative destinés à recenser, à promouvoir et à co-développer des solutions juridico-techniques au service de la protection de la vie privée sur Internet. A ce titre, elle propose à son écosystème des icônes à afficher de manière graphique son engagement en matière de vie privée. https://www.privacytech.fr/privacy-icons/

8 Article de Matthias De Bièvre intitulé Jollyclick, jeune réseau social français : “1ère implémentation de la data ethic”https://medium.com/jollyclick/jollyclick-1èreimplémentation-de-la-data-ethic-511afed86457

9 https://visionstrust.com/information/VisionsTrust

A. 10Banck et D. Rahmouni, Le RGPD nouvel outil de soft law de l’Europe dans le numérique, Revue Lamyline Droit immatériel n°151 – 2018, paru Septembre 2018.

2019-03-07T09:36:40+00:00mars 5th, 2019|conformite|