Avis du CEPD sur la vie privée à l'ère numérique: "Privacy by design" comme outil essentiel pour assurer la confiance des citoyens dans les TIC
Le Contrôleur européen de la protection des données (CEPD) a adopté un avis intitulé "Promouvoir la confiance dans la société de l'information en encourageant la protection des données et la vie privée" qui constitue sa contribution au nouvel Agenda numérique européen devant être adopté prochainement par la Commission européenne. L'avis examine les mesures que l'Union européenne pourrait adopter ou promouvoir afin de garantir le droit à la vie privée et à la protection des données lors de l'utilisation des technologies de l'information et de la communication (TIC). L'identification par radiofréquence (RFID), les réseaux sociaux, la santé en ligne, les systèmes de transport intelligents ne sont que quelques exemples.
L'avis souligne que la confiance est une question essentielle dans l'émergence et le succès du déploiement des TIC. Ces technologies offrent des opportunités et des avantages considérables, mais elles comportent aussi des risques nouveaux. Veiller à ce que l'utilisation des TIC ne compromette pas les droits fondamentaux des individus à la vie privée et à la protection des données est un facteur clé pour garantir la confiance des utilisateurs dans la société de l'information.
Bien que l'UE dispose d'un cadre réglementaire solide dans le domaine de la protection des données, dans de nombreux cas, les TIC suscitent de nouvelles inquiétudes qui ne sont pas prises en compte dans le cadre existant. Il est donc nécessaire d'aller plus loin afin de renforcer ce cadre. Selon le CEPD, cette action supplémentaire passe par la nécessité de garantir le principe du "Privacy by design" selon lequel les TIC sont conçues et développées en tenant compte de la vie privée et des exigences de protection des données depuis la création même de la technologie, et ce à tous les stades de son développement.
Selon Peter Hustinx, CEPD: "Les avantages potentiels des TIC ne peuvent être appréciés dans la pratique que s'ils sont capables de susciter la confiance. Cette confiance ne sera obtenue que si les TIC sont fiables, sûrs, sous le contrôle des individus et si la protection de leurs données personnelles et la confidentialité est garantie. Afin de minimiser les risques et de s'assurer de la volonté des utilisateurs de recourir aux TIC, il est essentiel d'intégrer, dans la pratique, la protection des données et la confidentialité dès la création de nouvelles technologies. Cette nécessité d'une approche basée sur le "Privacy by design" doit être reflétée dans le cadre juridique européen de la protection des données à des niveaux différents de la législation et de l'élaboration des politiques."
Afin de renforcer le cadre juridique européen de la protection des données européennes, le CEPD demande à la Commission européenne de suivre le plan d'action suivant:
- approche générale basée sur le "Privacy by design": la prise en compte du respect de la vie privée dès la conception doit être explicitement inclue en tant que principe général obligatoire dans le cadre juridique existant de la protection des données. Cela permettrait de rendre obligatoire sa mise en œuvre par les responsables du traitement des données, ainsi que par les concepteurs et fabricants de TIC, tout en offrant une plus grande légitimité aux autorités judicaires et policières pour exiger son application effective. Le principe du "Privacy by design" doit également faire partie intégrante du prochain Agenda numérique européen et devenir contraignant dans les futures politiques de l'UE;
- "Privacy by design" dans des secteurs spécifiques: dans trois domaines présentant des risques spécifiques pour la vie privée et la protection des données, le CEPD recommande la prise en compte du respect de la vie privée dès la conception selon l'approche suivante: a) RFID: proposer des mesures législatives réglementant les principaux enjeux de l'usage de la RFID dans l'hypothèse où l'autorégulation ne fournit pas les résultats escomptés (p.ex. prévoir le principe du consentement préalable - "opt-in" - au point de vente); b) Réseaux sociaux: envisager une législation qui requiert des paramètres de protection de la vie privée par défaut ; c) Paramètres du navigateur et publicité ciblée: envisager une législation qui obligerait de fournir aux navigateurs des paramètres de confidentialité par défaut afin de faciliter l'obtention du consentement des utilisateurs pour recevoir de la publicité;
- mettre en œuvre le principe de responsabilité dans la directive européenne sur la protection des données;
- commencer le travail en vue de l'adoption des mesures d'application des dispositions relatives aux failles de sécurité dans la directive "vie privée et communications électroniques", et les appliquer de manière générale à tous les responsables de traitement de données.