La faisabilité des schémas de certification de protection de la vie privée

Titre I. Acronymes

CNIL : commission informatique et libertés

CEPD : commissaire européen à la protection des données

DP : Donnée à caractère personnel

DPA : autorités de protection des données

RFID : Radio Frequency Identification (identification par radiofréquence)

UE : union européenne

ULD : Centre de Protection de la vie privée du Schleswig-Holstein

Titre II. Définitions

Accréditation : Attestation délivrée par une tierce partie, ayant rapport à un organisme d'évaluation de la conformité, constituant une reconnaissance formelle de l'impartialité et de la compétence de ce dernier à réaliser des activités spécifiques d'évaluation de la conformité ».

Bien que normalement la démarche soit volontaire, elle tend de plus en plus fréquemment à se développer dans le domaine règlementaire. Elle peut être exigée par les Pouvoirs Publics comme un préalable à un futur agrément (dans la plupart des cas) pour l'application d'une réglementation nationale ou en vue d'une notification dans le cadre d'une directive européenne.

L'accréditation porte sur des organismes de contrôle et vise à vérifier qu'ils exercent leur activité selon une déontologie et des règles de l'art internationalement acceptées. Peuvent faire l'objet d'accréditation :

-les laboratoires

-les corps d'inspection

-les corps de certification :

· Systèmes de management

· Produits et services

· Personnes

Auto régulation : Régulation d' un système, d'un produit, d' un processus par lui-même.

Certification : La certification consiste en la délivrance d'une assurance écrite (le certificat) réalisée par une tierce partie relative à des produits, des processus, des systèmes ou des personnes grâce à des audits, des essais, des examens et toute autre activité de surveillance.

Les certifications garantissent la conformité de produits/services, de systèmes de management ou de personnels (par exemple : auditeurs, diagnostiqueurs immobiliers...) par rapport à des exigences spécifiées.

La certification recouvre un large spectre de démarches dont l'objet peut être le suivant :

-les systèmes de management : ex. les systèmes d'information.  

-la certification de qualification technique ex. certification pour la qualification de prestataires de services de certification électronique

-les produits et services

-Les personnes : ex. certification d'auditeurs de système de management de SI (ISO 27001)

La certification est notamment régie par l'application de standards internationaux

ISO CEI 17021 pour la certification de systèmes de management d'entreprise,

ISO CEI 17024 pour la certification de personnes,

EN 45011 (équivalent du guide ISO/CEI 65) pour la certification de produits et services.

Corégulation : mécanisme par lequel un acte législatif communautaire confère la réalisation des objectifs définis par l'autorité législative aux parties concernées reconnues dans le domaine (notamment les opérateurs économiques, les partenaires sociaux, les organisations non gouvernementales ou les associations).

Données à caractère personnel (DP): toute information concernant une personne physique identifiée ou identifiable (personne concernée); est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou social (directive 95/46)

Information personnellement identifiante (PII): toute information pouvant assurer la traçabilité vis à vis d'un individu

Information personnelle: toute information qui 1) se rapport à un individu et 2) identifie ou peut être utilisée pour identifier un individu (adresse e-mail, numéro de téléphone, numéro de Sécurité Sociale, ou autre identifiant unique).

Label : Le terme « label » est très souvent utilisé et peut prêter à confusion : il n'a pas la même signification en France où son utilisation est réglementée (dans le secteur agroalimentaire) et dans les autres pays de l'Union européenne notamment où il est employé dans son acception anglo-saxonne auquel cas il est le corollaire logique de la certification.

Un label (ou une marque de confiance ou un sceau), se matérialise par des signes distinctifs (nom, logo,..). Un label est un engagement de qualité conforme à un cahier des charges mais il n'offre aucune garantie de qualité. Il peut soit résulter d'un processus d'auto-régulation soit être délivré par un tiers indépendant.

Privacy : Pour des raisons pratiques et conformément à la démarche adoptée par la commission européenne, ce terme sera traduit par « protection de la vie privée ».

En 1967, A.Westin, évoquait «  le droit de déterminer quand, comment, et dans quelle mesure des informations sur la personne sont communiquées à d'autres. »

Ce mot recouvre plusieurs aspects et peut être lié à/aux :

-informations personnelles;

-la personne;

-comportement;

- les communications personnelles

Selon The American Institute of Certified Public Accountants (AICPA)/CICA il s'agit des « droits et obligations des individus et des organisations relativement à la collecte, l'usage, la divulgation et la conservation d'informations personnelles ».

Régulation : Imposition de règles par un gouvernement dont l'application est garantie par des pénalités et l'autorité de l'état.

Schéma de certification : en raison des différences de sémantique portant notamment sur le terme de « label », mais aussi parce qu'en pratique, on observe une certaine confusion entre les différents schémas, l'expression « schéma de certification »sera utilisée lorsque les propos concerneront tant des schémas de certification que de labellisation ou de marques de confiance

Standard : Un standard est un document technique servant de ligne directrice, règle ou définition, élaboré au sein d'un consortium regroupant des industriels, des régulateurs, des consommateurs.

La standardisation implique non seulement une norme commune mais aussi une procédure d'évaluation de conformité.