Hoja de repaso: Principes et pratiques de Privacy by Design

📋 Plan du Cours

1. Privacy by design et article 25 RGPD
2. Origines du concept
3. Sept principes fondamentaux
4. Proactivité et sécurité de bout en bout
5. Transparence et respect de l'utilisateur
6. Applications et technologies PETs
7. Culture privacy et business
8. Cycle de vie des données
9. Consentement, contrôle et portabilité
10. Cryptologie et chiffrement
11. Informatique ubiquitaire et défis futurs

📖 1. Privacy by design et article 25 RGPD

🔑 Notions clés & Définitions

• Privacy by design : Approche consistant à organiser la protection des données personnelles dès la conception, avec des mesures techniques et organisationnelles définies en amont du traitement.
• Article 25 RGPD : Dispositif du RGPD imposant au responsable du traitement de mettre en place des mesures techniques et organisationnelles appropriées à la conception et pendant le traitement.
• Protection des données par défaut : Exigence du RGPD selon laquelle, par défaut, seules les données nécessaires à chaque finalité sont traitées, avec des limites sur collecte, étendue, conservation et accès.

📝 Points essentiels

• Le RGPD a été adopté le 27 avril 2016, et l’article 25 incarne une proactivité en plaçant la protection des données dans le temps dès la conception.
• Le responsable du traitement applique des mesures techniques et organisationnelles appropriées à la fois lors de la définition des moyens du traitement et pendant le traitement lui-même, en tenant compte notamment de l’état des connaissances, des coûts et des risques.
• L’article 25 vise l’effectivité des principes de protection des données, avec des mesures telles que la pseudonymisation et des garanties destinées à protéger les droits des personnes concernées.
• Par défaut, seules les données à caractère personnel nécessaires à chaque finalité spécifique sont traitées, ce qui couvre la quantité collectée, l’étendue du traitement, la durée de conservation et l’accessibilité.
• Par défaut, les données ne doivent pas être accessibles à un nombre indéterminé de personnes sans l’intervention de la personne concernée.
• Un mécanisme de certification approuvé au titre de l’article 42 peut servir d’élément pour démontrer le respect des exigences de l’article 25 aux paragraphes 1 et 2.

💡 Astuce mémo

Article 25 : “Dès la CONCEPTION” + “PAR DÉFAUT, juste le nécessaire”.

📖 2. Origines du concept

🔑 Notions clés & Définitions

• Ann Cavoukian : Commissaire à l’information et à la protection de la vie privée de l’Ontario, à l’origine du concept de Privacy by Design au Canada.
• Peter Hustinx : Contrôleur européen de la protection des données qui a précisé l’apparition du terme PET en 1995.

📝 Points essentiels

• Le concept est créé au Canada dans les années 1990 par Ann Cavoukian, alors Commissaire à l’information et à la protection de la vie privée de l’Ontario.
• Le terme PET apparaît en 1995 dans le rapport « Technologies renforçant la protection de la vie privée : le chemin vers l’anonymat ».
• Le séminaire « Respect de la vie privée dès la conception » se tient à Madrid le 2 novembre 2009, où Peter Hustinx précise l’origine du terme PET.
• Le rapport de 1995 est issu d’un projet commun des autorités néerlandaises de protection des données et du commissariat ontarien, avec Ann Cavoukian (Canada) et John Borking (Pays-Bas) comme acteurs clés.

💡 Astuce mémo

Repère la chronologie : 1995 rapport PET, puis 2/11/2009 Madrid avec Hustinx. (Canada : années 1990, Cavoukian).

📖 3. Sept principes fondamentaux

🔑 Notions clés & Définitions

• Mesures proactives : Les mesures proactives consistent à prévoir et prévenir les atteintes à la vie privée avant qu’elles ne surviennent, plutôt qu’à attendre les incidents.
• Protection implicite de la vie privée : La protection implicite vise à intégrer la protection de la vie privée de façon « naturelle » dans le système, sans dépendre d’une réaction après coup.

📝 Points essentiels

• Le 1er principe impose des actions préventives et non réactives, et il ne prévoit pas de traitement correctif après une atteinte déjà survenue.
• La mise en œuvre doit commencer dans le cycle de vie du projet numérique dès la conception afin d’anticiper les incidents.
• Le 1er principe fait de la prévention un repère temporel qui place l’engagement de l’organisme sur la protection au tout début du processus.
• Le 2e principe affirme que la protection intégrée de la vie privée est assurée de manière implicite, pour fournir le maximum de vie privée.

📖 4. Proactivité et sécurité de bout en bout

🔑 Notions clés & Définitions

• Sécurité de bout en bout : Sécurité de bout en bout : protection qui reste en place pendant toute la période de conservation des données, jusqu’à leur destruction sécurisée.

📝 Points essentiels

• La protection intégrée de la vie privée privilégie des actions préventives et non correctives, car elle vise à empêcher les incidents avant qu’ils ne surviennent.
• Ce principe exclut l’attente d’une atteinte déjà réalisée : il faut intégrer la prévention dès la conception et tout au long du cycle de vie du projet numérique.
• La sécurité de bout en bout doit persister du début de la collecte jusqu’à la fin de la période de conservation des renseignements.
• La sécurité de bout en bout combine une conservation sécurisée et une destruction sécurisée à l’issue de la période de conservation.
• Le principe impose une gestion intégrale de la sécurité de l’information sur tout le cycle de vie des données, pour éviter les risques et assurer l’effacement final.

💡 Astuce mémo

Proactif = Avant; Bout en bout = De la collecte à la destruction.

📖 5. Transparence et respect de l'utilisateur

🔑 Notions clés & Définitions

• Transparence du système : La transparence du système décrit le fait que les éléments et le fonctionnement liés à la protection des données restent compréhensibles pour les utilisateurs et les fournisseurs.
• Vérification indépendante : La vérification indépendante consiste à contrôler le fonctionnement du système par une entité externe afin de confirmer qu’il respecte ses objectifs et promesses.
• Respect de la vie privée des utilisateurs : Le respect de la vie privée des utilisateurs impose de centrer les décisions sur les intérêts des personnes concernées et d’offrir des dispositifs conviviaux et habilitants.

📝 Points essentiels

• La protection intégrée garantit que le système fonctionne conformément aux promesses et objectifs annoncés, sous réserve d’une vérification indépendante.
• Les éléments et le fonctionnement du système doivent rester visibles et transparents pour les utilisateurs ainsi que pour les fournisseurs.
• Le respect de la vie privée des utilisateurs impose des mesures strictes et implicites, des avis adaptés et des fonctions orientées utilisateur.
• Le principe place les intérêts des personnes concernées au cœur des choix des concepteurs et des utilisateurs, y compris via les accès webservice.
• Le principe dépend des autres en demandant une adéquation des systèmes aux attentes des utilisateurs et aux exigences légales.

💡 Astuce mémo

Transparence = Promesse vérifiée : visibles pour tous, confirmées par un tiers ; Respect = Utilisateur au centre : mesures implicites + fonctions conviviales.

📖 6. Applications et technologies PETs

🔑 Notions clés & Définitions

• Privacy Enhancing Technologies : Les PETs sont des technologies qui renforcent la protection des données personnelles en couvrant un ou plusieurs principes de Privacy by Design via des mécanismes techniques dans le SI.
• Solution juridico-techniques : Une solution juridico-techniques désigne une combinaison de dispositif technique et d’éléments liés aux conditions de traitement permettant un meilleur contrôle des données par l’utilisateur.
• Operationalizing Privacy by Design : Le guide Operationalizing Privacy by Design est un document de décembre 2012 qui rassemble des cas concrets de mise en œuvre du Privacy by Design.

📝 Points essentiels

• Les PETs sont des outils, applications et mécanismes intégrés aux services en ligne pour protéger les données personnelles identifiables et le contrôle de leur usage.
• Les PETs permettent notamment le contrôle des données partagées, leur minimisation ou leur anonymisation, et peuvent parfois contribuer à la négociation des conditions de traitement.
• Le guide Operationalizing Privacy by Design (décembre 2012) recense des exemples réels dans plusieurs secteurs dont télécommunications, technologie, santé, transport et énergie.
• Le document décrit neuf domaines d’application dont la vidéosurveillance dans les réseaux de transport, la biométrie dans les casinos, les compteurs intelligents, les appareils mobiles/RFID, la géolocalisation par IP, les consultations médicales à distance, et le Big Data/Datamining.
• Dans ce cours, l’étude est limitée à un trio d’applications globales : protection intégrée dans les systèmes, pratiques responsables, et conception des systèmes avec l’infrastructure des réseaux.

💡 Astuce mémo

PETs = protéger + contrôler (minimiser/anonymiser) directement dans le système.

📖 7. Culture privacy et business

🔑 Notions clés & Définitions

• Culture Privacy : La culture Privacy désigne l’implication de tout le personnel, à tous les niveaux, pour que la protection des données devienne une responsabilité partagée et opérationnelle.
• Privacy is good for business : La notion Privacy is good for business présente la protection de la vie privée comme une valeur commerciale qui renforce la confiance plutôt que comme une contrainte.
• Paramètre confiance : Le paramètre confiance correspond à la relation de crédibilité perçue par les utilisateurs ou clients, qui peut être renforcée ou dégradée par la conformité à la vie privée.

📝 Points essentiels

• La mise en œuvre efficace de Privacy by Design nécessite la mobilisation de l’ensemble du personnel et une délimitation claire des responsabilités dans l’organisme.
• La dichotomie « sécurité vs vie privée » en somme nulle est présentée comme erronée car le respect de la vie privée contribue à augmenter et maintenir la confiance.
• Des atteintes à la vie privée peuvent entraîner des coûts de remédiation imposée a posteriori, des poursuites et des atteintes à l’image de marque, en plus de pertes de confiance.
• Le RGPD prévoit des peines pouvant aller jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, une fois l’application du règlement effective.
• Une réputation se construit sur plusieurs années mais peut se dégrader très vite, ce qui rend difficiles à mesurer les coûts liés aux violations ou à la non-conformité.

💡 Astuce mémo

Privacy = Confiance durable + Moins de coûts (pannes, procès, image) .

📖 8. Cycle de vie des données

🔑 Notions clés & Définitions

• Modélisation du cycle de vie : La modélisation du cycle de vie des données est une approche qui décrit les étapes et durées de traitement afin d’automatiser le respect des périodes de conservation.
• Archives courantes : Les archives courantes regroupent les données encore utiles à l’activité courante, comme des informations liées à un client dans le cadre d’un contrat.
• Archives intermédiaires : Les archives intermédiaires sont des données conservées pour un intérêt administratif, avec une durée fixée par les textes applicables.
• Archives définitives : Les archives définitives correspondent aux données conservées pour un intérêt historique, scientifique ou statistique, pouvant être gardées indéfiniment.

📝 Points essentiels

• La CNIL recommande une politique d’archivage qui classe les données en archives courantes, intermédiaires et définitives, avec des durées adaptées au rôle de chaque catégorie.
• Pour automatiser les purges, il faut construire un référentiel de durées de conservation par catégorie de données, par finalité et par service.
• Le système doit pouvoir agir seul grâce à un référentiel des durées de conservation, des métadonnées indiquant le niveau de sensibilité, et une table des durées stockée dans la base de données.
• Le système doit offrir la possibilité de détruire les données à supprimer via une simple confirmation lors d’une session administrateur.

💡 Astuce mémo

Courant → Intermédiaire → Définitif : activité, administratif, intérêt historique/scientifique/statistique (indéfini).

📖 9. Consentement, contrôle et portabilité

🔑 Notions clés & Définitions

• Traçabilité du consentement : Principe de preuve permettant de retrouver pour chaque utilisateur les éléments nécessaires au recueil du consentement et à son suivi.
• Droit d’opposition : Droit permettant à la personne de refuser l’utilisation liée à des services complémentaires lorsque les conditions prévues sont réunies.
• Droit à la portabilité : Droit RGPD permettant à la personne concernée d’obtenir la communication de ses données dans un cadre favorisant leur réutilisation.
• Privacide : Risque désignant des effets néfastes liés à une utilisation malveillante des données rendues trop facilement exploitables.

📝 Points essentiels

• Pour assurer la traçabilité du consentement, les informations pertinentes doivent être disponibles pour chaque utilisateur afin de garantir aussi le droit d’opposition pour les services complémentaires.
• Le contrôle effectif des données personnelles doit être offert uniquement et exclusivement à la personne concernée, afin d’éviter que des mécanismes de standardisation ne détournent ce contrôle.
• La demande de droit d’accès s’inscrit dans une vision centrée utilisateur où l’accès aux informations personnelles est directement fourni à la personne.
• La portabilité (article 20) et l’accès (article 15) jouent un rôle clé dans la logique de contrôle sur les données personnelles.
• Si une normalisation de tables contenant des données personnelles est faite sans appliquer correctement les principes de privacy by design, le risque de conséquences « Privacide » augmente via le datamining malveillant.

💡 Astuce mémo

Portabilité = art. 20 ; Accès = art. 15 ; Contrôle = personne concernée ; Sinon risque « Privacide ».

📖 10. Cryptologie et chiffrement

🔑 Notions clés & Définitions

• Cryptologie : La cryptologie regroupe la cryptographie et la cryptanalyse, avec l’objectif de protéger ou d’étudier des messages chiffrés.
• Cryptographie : La cryptographie est une discipline qui protège des messages grâce à des secrets, notamment des clés, pour produire un texte chiffré.
• Cryptanalyse : La cryptanalyse cherche à retrouver un texte en clair à partir d’un texte chiffré, sans connaître la clé de chiffrement.
• Chiffrement homomorphe : Le chiffrement homomorphe permet à un tiers d’effectuer des calculs sur des données chiffrées et d’obtenir un résultat chiffré correspondant.

📝 Points essentiels

• La cryptanalyse tente de déduire un texte en clair depuis un message chiffré sans posséder la clé de chiffrement.
• Le hashage sert à ne pas stocker les mots de passe en clair, en stockant une empreinte et en vérifiant que l’empreinte fournie correspond à celle stockée.
• Le chiffrement asymétrique (ex. RSA2048) peut assurer confidentialité et non-répudiation, tandis que le chiffrement symétrique (ex. AES256) repose sur une clé secrète partagée.
• Dans la pratique, on combine souvent chiffrement asymétrique et symétrique en chiffrant une clé aléatoire avec la clé publique avant de chiffrer le message avec un algorithme symétrique.
• Jusqu’en 1996, le chiffrement était considéré en France comme une arme de guerre de deuxième catégorie, puis l’usage du chiffrement symétrique a été autorisé avec des clés ne dépassant pas 128 bits, et la loi du 21 juin 2004 (LCEN) a libéré l’usage des moyens de cryptographie en gardant des contraintes pour l’importation/exportation.
• Le chiffrement homomorphe est devenu complètement homomorphe en 2009 avec la thèse de Craig Gentry, mais il impose encore des clés de plusieurs méga-octets et des calculs jusqu’à 1000 fois plus lents que les méthodes non homomorphes.

💡 Astuce mémo

Symétrique = même clé; Asymétrique = clé publique/privée; Homomorphe = calcul sur chiffré.

📖 11. Informatique ubiquitaire et défis futurs

🔑 Notions clés & Définitions

• Informatique ubiquitaire : L’informatique ubiquitaire est un modèle où des technologies de calcul et d’échange deviennent indissociables de la vie quotidienne, souvent sans interaction directe de l’utilisateur.
• Mark Weiser : Mark Weiser est le chercheur présenté comme le père de l’informatique ubiquitaire depuis 1988 et associé à l’idée d’une technologie devenue invisible.
• Intelligence artificielle contextuelle : L’intelligence artificielle contextuelle est une forme d’IA qui adapte ses comportements à un contexte qu’il faut analyser en amont.
• Deep learning : Le deep learning est une approche d’apprentissage automatique qui renforce les capacités de l’IA et ouvre des perspectives pour l’analyse des données.

📝 Points essentiels

• Mark Weiser est présenté comme le père de l’informatique ubiquitaire depuis 1988 et lie cette vision à des technologies devenues invisibles.
• L’informatique ubiquitaire vise une communication entre périphériques sur différents réseaux sans intervention directe de leur propriétaire, avec analyse des besoins selon contexte, contacts et habitudes.
• Le dernier défi pour la protection de la vie privée est annoncé comme difficile à mener, et la généralisation du chiffrement est présentée comme un levier majeur pour éviter une complexification croissante.
• L’IA progresse vers une intelligence « contextuelle » qui dépend d’un contexte à analyser en amont pour adapter les interactions.
• Le machine learning et le deep learning sont présentés comme des accélérateurs, tandis que les projets Big data évoluent avec une précision accrue et peuvent produire des phénomènes de sérendipité.
• Le roman « 1984 » de George Orwell paraît en 1949, et le cours rapproche cette fiction de la société actuelle.

💡 Astuce mémo

Ubiquité = « invisible » (Weiser 1988) ; Vie privée = chiffrement généralisé + contexte (IA contextuelle) + profondeur (deep learning).

📅 Repères chronologiques

Date	Événement
27 avril 2016	Adoption du règlement général sur la protection des données (RGPD) et rattachement à l’article 25
1995	Apparition du terme PET dans le rapport « Technologies renforçant la protection de la vie privée : le chemin vers l'anonymat »
2 novembre 2009	Séminaire « Respect de la vie privée dès la conception » à Madrid (Peter HUSTINX)
27 avril 2016	Principe de Privacy by Default repris à l’alinéa 2 de l’article 25
août 2009	Publication des sept principes fondamentaux
décembre 2012	Publication du guide « Operationalizing Privacy by Design: A Guide to Implementing Strong Privacy Practices » (et documents liés cités)

📊 Tableaux de synthèse

Cryptographie : objectifs

Technique	Objectif principal	Clé/secret
Hashage	Éviter de stocker le mot de passe en clair (contrôle via empreinte)	Pas de clé indiquée (empreinte)
Chiffrement symétrique	Confidentialité (ex. échange avec clé secrète)	Clé secrète partagée
Chiffrement asymétrique	Confidentialité et non-répudiation (ex. RSA2048)	Clé publique / clé privée
Chiffrement homomorphe	Calculs sur données chiffrées (résultats chiffrés)	Clés publiques (mais opérations possibles restent limitées/plus lentes)

Archives : finalité et durée

Catégorie d’archives	Intérêt	Durée
Archives courantes	Activité courante (ex. données relatives à un client dans le cadre d’un contrat)	Données encore utiles à l’activité courante
Archives intermédiaires	Intérêt administratif	Durée fixée en fonction des textes applicables
Archives définitives	Intérêt historique, scientifique ou statistique	Peuvent être conservées indéfiniment

⚠️ Pièges & confusions fréquents

1. Confondre privacy by design (dès la conception et proactif) avec une simple réponse après incident : le cours insiste sur l’absence de solution corrective pour des atteintes déjà produites.
2. Croire que « par défaut » signifie tout traiter par défaut : par défaut, seules les données nécessaires à chaque finalité sont traitées, y compris sur quantité, étendue, durée et accessibilité.
3. Penser que « contrôle » et « transparence » sont identiques : transparence = visible/vérification indépendante ; contrôle = uniquement la personne concernée et risques de standardisation/détournement.
4. Mélanger la sécurité de bout en bout avec une sécurité limitée à la collecte : le cours exige que la sécurité persiste du début jusqu’à la fin de la période de conservation, puis destruction sécurisée.
5. Confondre PET et conformité RGPD : le cours présente les PETs comme des mécanismes techniques couvrant des principes, pas comme une « validation » à eux seuls.
6. Croire que la portabilité remplace l’accès : le cours relie portabilité (art. 20) et accès (art. 15) à une logique de contrôle, et le « privacide » vient d’une mauvaise mise en œuvre liée à la normalisation.
7. Sous-estimer l’impact économique : le cours oppose une vision sécurité vs vie privée « somme nulle » et insiste sur la confiance et les coûts a posteriori (RGPD : jusqu’à 20 millions d’euros ou 4%).

✅ Checklist Examen

1. Expliquer ce que recouvre l’article 25 RGPD : mesures techniques et organisationnelles appropriées dès la détermination des moyens et pendant le traitement (ex. pseudonymisation) selon état des connaissances, coûts, risques, portée et finalités.
2. Décrire précisément la protection des données par défaut : seules les données nécessaires à chaque finalité sont traitées (quantité, étendue, durée, accessibilité), et pas rendues accessibles à un nombre indéterminé de personnes sans intervention de la personne concernée.
3. Replacer le concept : Ann Cavoukian (années 1990, Ontario), puis l’apparition du terme PET en 1995 dans « Technologies renforçant la protection de la vie privée : le chemin vers l'anonymat », et la clarification de l’origine à Madrid le 2 novembre 2009 par Peter Hustinx.
4. Lister et caractériser le sens des 7 principes : proactivité non réactive, protection implicite/Privacy by Default, intégration à la conception, paradigme à somme positive (business + privacy), sécurité de bout en bout, visibilité/transparence avec vérification indépendante, et respect de la vie privée des…
5. Définir la sécurité de bout en bout : sécurité du début de la collecte à la fin de la période de conservation, avec conservation sécurisée puis destruction sécurisée, et gestion intégrale sur le cycle de vie des données.
6. Expliquer le rôle de la transparence et de la vérification indépendante : éléments et fonctionnement visibles pour utilisateurs et fournisseurs, promesses/objectifs respectés sous réserve de vérification indépendante.
7. Décrire les PETs : technologies mécanismes intégrés au SI couvrant un ou plusieurs principes, permettant notamment contrôle des données partagées, minimisation et anonymisation, et parfois négociation des conditions de traitement.
8. Présenter la logique « Privacy is good for business » : confiance et coûts évités (remédiation a posteriori, poursuites, image), et les peines RGPD mentionnées (jusqu’à 20 millions d’euros ou 4%).
9. Exposer la modélisation du cycle de vie et les trois catégories d’archives (courantes, intermédiaires, définitives) et ce que le système doit faire pour automatiser les purges avec référentiel de durées, métadonnées de sensibilité et table en base.
10. Associer contrôle/traçabilité de consentement et droits : traçabilité du consentement pour permettre le droit d’opposition aux services complémentaires ; contrôle effectif offert uniquement à la personne concernée ; relier portabilité (art. 20) et accès (art. 15) ;
11. Rappeler l’essentiel de la cryptographie et sa finalité : distinguer cryptologie/cryptographie/cryptanalyse, rôle du hashage pour ne pas stocker les mots de passe en clair, différence symétrique vs asymétrique, combinaison asymétrique + symétrique en pratique, et idée du chiffrement homomorphe (calcul sur données…
12. Décrire l’informatique ubiquitaire et le dernier défi : Mark Weiser (depuis 1988) et technologies invisibles, nécessité de la généralisation du chiffrement, puis évolution vers l’IA contextuelle et les apports du machine learning/deep learning et Big Data avec sérendipité.