Qu'est-ce qu'une évaluation des facteurs relatifs à la vie privée (PIA) ?

La vie privée est un concept bien reconnu dans de nombreuses civilisations et cultures à travers le monde. Lorsque quelque chose est privé pour une personne, cela signifie généralement que quelque chose lui est intrinsèquement sensible. Il s’agit d’un droit fondamental, essentiel à la protection de la dignité humaine et de l’autonomie. La plupart des gens associent le terme confidentialité à la seule confidentialité numérique ; cependant, selon Roger Clarke, la vie privée touche toutes les facettes de notre vie, y compris la vie privée de la personne (vie privée corporelle), la vie privée du comportement personnel (vie privée des médias), la vie privée des communications personnelles (vie privée des interceptions) et la confidentialité des données personnelles (confidentialité des données).

À l’ère numérique, le paysage de la vie privée – la manière dont la vie privée est protégée et violée , a radicalement changé. Aujourd'hui, il est devenu beaucoup plus facile de collecter, stocker, analyser et partager d'énormes quantités de données. Informations personnellement identifiables (PII) comme cela a été démontré par les grands acteurs de la technologie dans les médias sociaux et les moteurs de recherche . Internet a suscité de nouvelles préoccupations en matière de confidentialité ; désormais, les ordinateurs peuvent stocker de manière permanente des enregistrements de tout. L’évaluation des risques potentiels pour la vie privée est devenue plus importante que jamais, et c’est là que le concept d’évaluation des facteurs relatifs à la vie privée (PIA) entre en jeu.

Vue générale de Évaluation des facteurs relatifs à la vie privée

UNÉvaluation des facteurs relatifs à la vie privée (PIA)est un type d'évaluation d'impact menée par une organisation telle qu'une agence gouvernementale ou une entreprise pour déterminer l'impact qu'un nouveau projet technologique, des initiatives ou des programmes et politiques proposés pourraient avoir sur la vie privée des individus. Il présente des recommandations pour gérer, minimiser ou éliminer cet impact. L’un des principaux objectifs du PIA est de communiquer efficacement les risques liés à la vie privée liés aux nouvelles initiatives technologiques. Il fournit également aux décideurs les informations nécessaires pour prendre des décisions politiques éclairées, fondées sur une compréhension des risques liés à la vie privée et des options disponibles pour atténuer ces risques.

L'ÉFVP est très similaire en principe au terme évaluation d'impact environnemental (EIE) où les implications environnementales d'un nouveau projet ou plan sont identifiées avant la décision d'aller de l'avant avec l'action proposée. Bien avant que l’ÉIP ne devienne courante, l’évaluation technologique (AT) était utilisée comme moyen d’évaluer et d’évaluer l’impact sociétal des nouvelles technologies. Alors que la technologie informatique a commencé à gagner en popularité dans les années 1990, il est devenu nécessaire de mesurer l’efficacité de la sécurité des données et des risques liés à la confidentialité de ses systèmes, d’autant plus que la plupart des données sont désormais stockées sur des ordinateurs ou d’autres plates-formes électroniques. Cela a donné naissance à l’idée de l’évaluation des impacts sur la vie privée, et la méthodologie utilisée à la fois par TA et par EIA a inspiré ou constitué la base de la création du PIA.

PIA offre des avantages à diverses parties prenantes, notamment à l'organisation initiatrice elle-même ainsi qu'à ses clients. Les mises en œuvre de PIA peuvent contribuer à renforcer la confiance avec les parties prenantes et la communauté des utilisateurs en faisant preuve de diligence raisonnable et de respect des meilleures pratiques en matière de confidentialité. Les problèmes de confidentialité qui ne sont pas correctement traités peuvent avoir un impact sur la confiance de la communauté dans une organisation, un projet ou une politique.

PIA offre à une organisation un moyen de démontrer son engagement et son respect envers la vie privée des utilisateurs. Les autres avantages clés incluent :

• Réduit les coûts futurs en matière de frais juridiques, d’atteinte à la réputation et de publicité négative potentielle, en prenant en compte les questions de confidentialité dès le début d’un projet.
• Démontre aux employés, sous-traitants, clients et citoyens que votre organisation s'engage à protéger et à faire respecter le droit à la vie privée.
• Fournit un moyen de détecter et d’atténuer les problèmes de confidentialité avant qu’ils ne surviennent afin d’éviter des erreurs coûteuses ou embarrassantes en matière de confidentialité.
• Favorise et démontre la sensibilisation et la compréhension des problèmes de confidentialité au sein de votre organisation.
• Fournit la preuve qu'une organisation a tenté de prévenir les risques liés à la vie privée
• Aide votre organisation à gagner la confiance du public.

Quand entreprendre une évaluation des facteurs relatifs à la vie privée ?

La toute première étape du processus d’ÉFVP consiste à déterminer si elle est nécessaire. Si une organisation découvre qu'il est possible qu'un projet qu'elle est sur le point d'entreprendre présente un risque élevé d'impact sur la vie privée des utilisateurs, elle doit procéder à une évaluation des facteurs relatifs à la vie privée. Cela garantira que les risques et les impacts en matière de confidentialité qui peuvent être associés au projet sont identifiés et atténués.

La question est donc la suivante : qu’est-ce qui constitue exactement un projet à haut risque pour la vie privée ? Eh bien, selon les experts, l’un des signes évidents à surveiller dans un projet est s’il implique une manière nouvelle ou modifiée de collecter, stocker, analyser, partager ou détruire des informations personnelles. Un projet peut présenter un risque élevé pour la vie privée s'il implique des façons nouvelles ou modifiées de traiter les informations personnelles susceptibles d'avoir un impact significatif sur la vie privée des utilisateurs. Déterminer si un projet atteint ce seuil nécessite une compréhension approfondie de tous les aspects d’un projet.

Une évaluation de seuil est une évaluation préliminaire pour vous aider à déterminer si un projet que vous êtes sur le point d'entreprendre pourrait être un projet à haut risque pour la vie privée ou s'il est susceptible d'avoir un impact sur la vie privée des utilisateurs. Cela vous donnera un aperçu du niveau de risque associé au projet. Bien entendu, tous les projets ne nécessiteront pas une PIA. Une évaluation de seuil aide à démêler les implications inhérentes à la vie privée en recherchant les facteurs qui indiquent un potentiel de risque élevé pour la vie privée, ce qui nécessitera la réalisation d'une EFVP. Ces facteurs peuvent inclure des activités telles que la collecte de renseignements personnels nouveaux ou supplémentaires, ou des actions qui entraînent une perte individuelle de contrôle sur leurs renseignements personnels. Les conséquences, notamment des impacts négatifs sur le bien-être mental ou numérique, pourraient être importantes pour un individu, un groupe d’individus ou la société dans son ensemble – par exemple, une reconnaissance faciale accrue ou une surveillance biométrique de masse.

Une fois que vous avez déterminé qu'un projet laisse présager un risque élevé pour la vie privée de la communauté des utilisateurs, vous devez lancer une évaluation des impacts sur la vie privée en fonction du niveau de risque, afin de démontrer votre engagement et votre respect pour la vie privée des utilisateurs. En fait, une PIA doit être entreprise suffisamment tôt dans le projet pour que ses conclusions puissent influencer la conception globale ou les résultats du projet. Ne pas entreprendre une PIA à ce stade peut exposer votre organisation à des risques tels que des atteintes à la vie privée, une publicité négative, une mauvaise réputation et le ressentiment des utilisateurs, entre autres.

Comment entreprendre une évaluation des facteurs relatifs à la vie privée ?

Plusieurs normes réglementaires à travers le monde, dont la RGPD UE obliger les organisations à entreprendre une EFVP avant de se lancer dans tout projet qui présente un risque spécifique pour la vie privée en raison de sa nature, de sa portée ou de ses objectifs. L'ampleur et la complexité de votre PIA dépendront de l'ampleur et de la complexité de votre projet envisagé. Pour les projets complexes, le processus d'ÉFVP et le rapport d'ÉFVP qui en résulte peuvent contenir des informations plus détaillées et hautement techniques. Mais en raison de l’absence de lignes directrices unifiées sur la manière de réaliser une telle évaluation, la plupart des organisations traitant des données personnelles ont du mal à réaliser une PIA.

Tableau 1.0 Comparaison des cadres et lignes directrices de l'ÉFVP

Cependant, la plupart des autorités de protection des données (APD) dans le monde, comme la Bureau du commissaire à l'information du Royaume-Uni (ICO) , le Secrétariat du Conseil du Trésor du Canada et le Organisation internationale de normalisation (ISO) , entre autres, ont publié des lignes directrices ou des cadres de haut niveau qui servent de guide pour mener à bien une ÉFVP. Veuillez consulter le tableau 1.0 ci-dessus pour une comparaison détaillée de certains des cadres et lignes directrices PIA les plus populaires. Les méthodologies peuvent varier, mais les éléments fondamentaux sont similaires. Le processus d’ÉFVP issu des différents cadres et lignes directrices d’ÉFVP peut être résumé dans les quatre composantes principales suivantes :

1. Lancement du projet: La phase de lancement du projet est la première phase du cycle de vie du processus PIA. C’est à ce stade que la portée réelle du processus d’ÉFVP est déterminée et définie. Si les détails du projet ne sont pas encore clairs à cette étape, l'organisation peut choisir de réaliser une EFVP préliminaire pour déterminer le type de renseignements personnels impliqués dans le projet. L'analyse préliminaire est importante au début du projet afin que le processus PIA qui en résulte puisse être pris en compte dans l'exécution du projet. Une fois que les détails du projet deviennent plus clairs et que vous découvrez qu'il existe un risque élevé d'impact sur la vie privée des utilisateurs, vous pouvez alors passer à une PIA complète. Certaines informations à prendre en compte à ce stade comprennent :

• Documents pertinents pour le projet tels que la charte du projet, les conceptions du projet, le plan du projet, ainsi que toute législation pertinente au projet.
• Informations sur le type de données impliquées dans le projet et sur la manière dont elles sont capturées, stockées, consultées, analysées et partagées.
• Tous les accords pertinents tels que les accords de partage d'informations, les accords de divulgation, les accords d'utilisation des données, les protocoles d'accord (MoU), les accords de recherche, etc.
• Toute EFVP pertinente existante déjà réalisée pour ce projet.

1. Analyse du flux de données : La phase d'analyse du flux de données implique une description et une analyse du flux de données détaillé, de l'architecture, des processus métier et une cartographie de la manière dont les informations personnelles circulent à travers l'organisation à la suite de la mise en œuvre technologique prévue. Le but de la cartographie des flux d’informations est de décrire la manière dont votre projet traite les informations personnelles. Un flux d'informations clairement cartographié aide à identifier les problèmes de confidentialité dans le processus PIA. Des diagrammes et des tableaux sont généralement utilisés pour décrire le flux d'informations personnelles et les différents types d'informations personnelles à utiliser dans le projet.

1. Analyse de confidentialité : La phase d'analyse de la confidentialité se concentre sur les flux de données dans le contexte des politiques et de la législation en matière de confidentialité applicables, et vise à révéler les lacunes susceptibles de conduire à une violation de la vie privée des utilisateurs et de la confiance du public. Les questionnaires sont généralement utilisés comme une liste de contrôle qui facilite l'identification des principaux risques et problèmes liés à la vie privée associés au projet envisagé. Les questionnaires doivent être remplis par le personnel impliqué dans le mouvement des renseignements personnels. Cela permet d'évaluer la conformité avec les réglementations pertinentes en matière de confidentialité et d'autres bonnes pratiques en matière de confidentialité et de porter à l'attention du conseil d'administration du projet ou des décideurs tout problème de confidentialité directement ou indirectement associé au projet qui pourrait soulever des inquiétudes du public.

1. Rapport d'évaluation des facteurs relatifs à la vie privée : Il s’agit de l’élément final et le plus critique du processus d’évaluation des facteurs relatifs à la vie privée. Un rapport d'impact sur la vie privée vise à identifier et à documenter les risques pour la vie privée et les implications associées de ces risques, ainsi qu'une discussion sur les remèdes ou plans d'atténuation possibles. Le rapport doit être soumis au conseil d'administration du projet ou au comité directeur du projet pour examen et approbation. Le rapport PIA approuvé constitue un outil de communication efficace qui démontre un engagement en faveur de la transparence et montre que le projet a été conçu dans un souci de confidentialité. Le rapport PIA doit notamment inclure :

• Recommandations sur la manière de gérer ou d'atténuer les risques liés à la vie privée, ainsi que tout risque lié à la vie privée qui ne peut être atténué.
• Le résultat de votre analyse d’impact sur la vie privée et de vos contrôles de conformité
• Une description des flux d'informations impliqués dans le projet
• La méthodologie utilisée pour entreprendre l’ÉFVP

Qu’est-ce qui fait une bonne PIA ?

La qualité des PIA dépend du processus (interne et/ou externe) qui les produit et les soutient. Cela signifie que la bonne culture de confidentialité, le modèle de gouvernance de la confidentialité des données et l'indépendance de l'évaluateur doivent être pleinement garantis et intégrés dans le processus PIA et dans l'organisation qui l'initie.

Voici quelques-unes des caractéristiques essentielles à rechercher dans une bonne PIA :

• Il doit répondre aux questions suivantes : Quelles informations personnelles sont collectées ? Comment les informations sont-elles collectées ? Pourquoi les informations personnelles sont-elles collectées ? Quelle est l’utilisation prévue des informations personnelles ? Qui aura accès aux informations personnelles ? À qui les informations personnelles seront-elles partagées ? Quelles mesures de protection sont utilisées pour protéger les informations personnelles ? Combien de temps les données seront-elles conservées ? Comment les données seront-elles mises hors service et éliminées ?
• Il doit identifier les risques pour toutes les formes de vie privée, y compris la vie privée de la personne, le comportement personnel, les communications personnelles et les données personnelles, ainsi que des informations sur la manière dont ces risques peuvent être atténués.
• Cela devrait aller au-delà du simple respect des exigences de conformité avec la législation pertinente en matière de confidentialité et de protection des données.
• Il s’agit d’un document « évolutif » qui devrait être revu et mis à jour si des modifications apportées à la conception du projet créent de nouveaux impacts sur la vie privée qui n’avaient pas été pris en compte auparavant.
• Est particulièrement efficace s’ils sont publiés avant la fin de la mise en œuvre d’une technologie.

Il est important que des mesures soient prises pour mettre en œuvre les recommandations formulées dans un rapport PIA. Il peut souvent être utile de préparer un plan de mise en œuvre des recommandations, comprenant les actions à entreprendre, les rôles et responsabilités ainsi que les délais.