La faisabilité des schémas de certification de protection de la vie privée

• SommaireTitre I.Acronymes 4
  
• Titre I. Acronymes
  
• Titre II. Définitions
  
• Titre III. Executive summary
  
• Titre IV. Résumé
  
• Titre V. Introduction
  
• Titre VI. Contexte général des schémas de certification de protection des DP et de la vie privée
  
  • Section 1. Environnement juridique et culturel
    
    • (I) Contexte règlementaire
      
      • (1) Au sein de l'Union Européenne
        
      • (2) Hors de l'Union Européenne
        
    • (II) Influence culturelle
      
  • Section 1. Recensement des schémas de certification
    
    • (I) L'accréditation
      
    • (II) Certification de personnes
      
    • (III) Certification de produits et services
      
    • (IV) Certification de procédure
      
• Titre VIII. Eléments de comparaison des schémas existants
  
  • Section 1. Critères de comparaison
    
    • (I) Règles et principes objet du référentiel
      
    • (II) Contrôles effectifs, réguliers impartiaux et résolution des litiges
      
    • (III) Indépendance et compétence des évaluateurs et de l'organisme délivrant le label ou le certificat
      
    • (IV) Accessibilité, information et transparence
      
    • (V) Reconnaissance géographique, loi applicable et juridiction compétente
      
    • (VI) Valeur ajoutée de la certification
      
  • Section 2. Recensement des schémas de protection de la vie privée et des DP
    
    • (I) Les labels de sites Web
      
      • (1) Exemples de labels de sites de commerce électronique traitant accessoirement de la protection de la vie privée ou des DP 
        
      • (2) La protection de la vie privée, un des critères des labels de pratiques éthiques des affaires 
        
        • a) Webassured
          
        • b) BBBOnline
          
        • c) WebTrust
          
      • (3) TRUSTe
        
        • a) Objectifs de TRUSTe
          
        • b) Une démarche commerciale et marketing
          
        • c) Evolution de TRUSTe
          
        • d) Les limites du modèle TRUSTe
          
    • (II) Schémas de certification de procédure ou de système de gestion
      
      • (1) L'audit de système de management
        
        • a) Caractéristiques de l'audit de système de management
          
          • i) Le schéma de certification Suisse et l'exemple GoodPriv@cy
            
          • ii) Le schéma japonais et l'exemple de PrivacyMark
            
      • (2) L'audit, un outil d'amélioration de la protection de la vie privée proposé par les DPA
        
        • a) L'Australie
          
        • Titre IX. (3)Risques liés à la conformité de l'audit (CAR) : Il s'agit du fait que les procédures de confirmation d'audit puissent échouer dans la détection de non-conformité en raison des risques dus à la procédure tels que le temps limité de l'audit ou bien la méthode d'échantillon.
          
        • a) Pays Bas
          
        • b) Royaume Uni
          
        • c) L'Allemagne
          
    • (II) Les standards de protection de la vie privée
      
      • (1) BSI 10012 Protection des données en ligne
        
      • (2) Iso 29100 et 29101
        
      • (3) Les normes du Comité de Standard Européen (CEN)
        
      • (4) AICPA/CICA (Canada) : les principes généraux de la vie privée (GAPP) et la référence au modèle de maturité
        
      • (5) Exemple de formations certifiées
        
        • a) Le « certified Information Privacy Professional » ou CIPP de l'IAPP
          
        • b) Les auditeurs certifiés de l'AICPA (American Institute Certified Accountants)
          
  • Section 2. Certification des produits de protection de la vie privé et des DP
    
    • (I) Parallèle avec les problèmes rencontrés par les standards de signature électronique
      
    • (II) La certification des produits et services dans la règlementation suisse
      
    • (I) Europrise, un schéma de certification de produits et services IT
      
      • (1) Origine et fondements d'Europrise
        
      • (2) Le référentiel d'Europrise
        
      • Titre XI. (1) La procédure d'évaluation et de certification
        
      • (1) Evolution du schéma Europrise
        
  • Section 2. Etude du cas français
    
    • (I) La certification dans les TIC en France
      
  • ï La certification dite tierce partie basée sur les Critères Communs (CC)
    
  • Titre XIII. C'est la certification de plus haut niveau ; l'Agence délivre un label appelé « certificat » qui atteste de la qualité de l'évaluation, de la compétence, de l'impartialité et de l'indépendance de l'évaluateur.
    
    • (I) L'article 11 de la loi informatique et libertés du 06/01/1978
      
    • (II) Le pouvoir de labellisation de la CNIL
      
• Titre XIV. Etat de maturité du marché et affirmation de nouvelles tendances
  
  • Section 1. Freins et barrières liés à la difficile appréhension des DP dans les théories économiques (coûts estimés, espérances de gains)
    
    • (I) Approche juridique versus approche économique
      
    • (II) Les limites des modèles économiques
      
    • (III) La prise en charge du coût d `une atteinte aux données
      
      • a) Est que indépendamment des failles de sécurité la violation de DP ont un coût ?
        
      • Titre XV. a) La protection de la vie privée et des DP a valeur d'enjeu de société
        
  • Section 2. Défis technologiques et politiques, la nouvelle donne
    
    • (I) Défis technologiques
      
    • (II) Défis politiques
      
  • Section 3. Protection des DP : vers une approche globale
    
    • (I) Encouragements pour une démarche holistique et proactive de protection
      
    • (II) Emergence de nouveaux concepts et de nouveaux outils
      
      • (1) Privacy by Design (PbD)
        
        • a) Le concept de PbD
          
        • b) Les Ambassadeurs du PbD (Golden Standard)
          
      • (2) Principe de « Accountability »
        
        • a) Principe fondateur d'un schéma de certification de protection des DP
          
        • Titre XVI. On entend par « Accountability » une obligation de rendre compte ; ce principe met l'accent sur la manière dont la responsabilité est assumée et sur la manière de le vérifier. Le terme anglo-saxon n'ayant pas de traduction précise, il a délibérément été choisi d'utiliser le terme anglais dans les commentaires ci-après.
          
        • Titre XVII. Le principe de « Accountability », principe de gouvernance éthique, n'est pas nouveau. On le trouve dès 1980 dans les lignes directrices de l'OCDE.
          
        • Titre XVIII. Le principe de « Accountability » se focalise sur la capacité d'une entreprise à démontrer son aptitude à atteindre des objectifs de protection de la vie privée. Il peut se résumer ainsi :
          
        • a) Le projet de Paris : Accountability
          
        • b) Mesurabilité du principe d' « Accountability »
          
          • i) Modèle de gouvernance
            
          • ii) Système de notation
            
    • (II) Obligation de sécurité renforcée : la protection des DP étendue à la sécurité des réseaux
      
      • (1) Le « paquet Télécom »
        
      • (2) La directive 95/46
        
      • (3) La directive vie privée et communication électronique
        
  • Section 2. Résultats de l'enquête de terrain
    
• Titre XIX. Recommandations et suggestions
  
  • Section 1. Eléments de faisabilité d'un schéma de certification
    
    • (I) Définition de l'objectif et de la cible
      
      • (1) L'organisation
        
      • (2) Le consommateur ou le client
        
      • (3) L'organisme certificateur
        
    • (II) Définition des caractéristiques du schéma de certification
      
      • (1) Portée du schéma
        
      • (2) Détermination du périmètre du référentiel
        
        • a) Définition des référentiels
          
        • b) Périmètre géographique du schéma
          
      • (3) Déterminer la qualité de l'organisme certificateur
        
      • (4) Conforter l'efficacité du schéma : responsabilité, contrôle, système de résolution des litiges
        
      • (5) Envisager d'autres bénéfices potentiels à une démarche de certification
        
        • a) Une assurance pour couvrir le coût d'une violation de données
          
        • b) Services annexes proposés par le certificateur
          
  • Section 2. Esquisse d'une politique d'accompagnement d'une démarche de certification
    
    • (I) Motivation et participation de l'ensemble des acteurs
      
      • (1) La faisabilité d'un schéma de certification dépend de l'engagement des pouvoirs publics dans un « projet de société »
        
      • (2) Encourager la participation des organisations professionnelles et des associations de consommateurs
        
    • (II) Définir une nouvelle façon de communiquer
      
      • (1) Veiller au langage clair et incitatif
        
      • (2) Motiver les décideurs et les individus au moyen d'un nouveau discours
        
• Titre XX. Conclusion
  
• Titre XXI. Annexes
  
• Titre XXII. Bibliographie