La faisabilité des schémas de certification de protection de la vie privée

(4) AICPA/CICA (Canada) : les principes généraux de la vie privée (GAPP) et la référence au modèle de maturité

« Good privacy is good business »

L'American Institute of Certified Public Accountants (AICPA) et le Canadian Institute

of Chartered Accountants (CICA) ont conjointement mis en place un groupe de travail sur la protection de la vie privée.

Ce groupe de travail a développé un cadre « pédagogique » pour comparer les bonnes pratiques et propose toute une série d'outils d'analyses de risques, de mesures de performance, de vérifications indépendantes, de conseils, d'évaluations...

Le référentiel de base comprend 10 principes généraux (Generally Accepted Privacy Principles ou GAPP) dont l'objectif est d'assurer que les « Informations personnelles soient collectées, utilisées, détenues, divulguées conformément aux engagements de la politique de vie privée de l'organisation et aux GAPP arrêtés par l'AICPA/CICA».

Chaque principe est soutenu par les critères objectifs et mesurables qui forment la base pour la gestion efficace du risque et de la conformité des organisations.

· L'AICPA/CICA propose un outil d'évaluation des risques (outil 1):

L'outil 1 Chacun des 73 critères de GAPP est évalué contre les risques suivants :

-probabilité d'échec des mesures de contrôle pour protéger la vie privée

-impact sur l'activité

-effort/coût pour atténuer

L'outil 1-b est configuré pour mettre à jour automatiquement jusqu'à 10 PRA-template

· Outil 2 le modèle de maturité Privacy Maturity Model (PMM)

Cet outil permet de mesurer le niveau de protection de la vie privée atteint dans l'organisation et de le faire évoluer en mode projet.

Il assure un processus d'amélioration continue et permet d'optimiser le niveau de protection souhaité selon les objectifs, les besoins et le contexte de l'organisation.

L'outil se structure autour des 10 principes (GAPP) et du modèle de maturité de possibilités (Capability Maturity Model (CMM)). ^{(*)REF _Ref278271812 \r \h \* MERGEFORMAT}

Le PMM n'est envisageable que s'il existe déjà un système de protection de la vie privée.

Toutes les entités n'ont pas forcément besoin d'un niveau optimum

Le modèle générique distingue 6 niveaux de maturité :

0	Non-Existant - il n'existe aucune gestion de protection de la vie privée
1	Ad Hoc - les processus sont Ad Hoc et désorganisés
2	Répétitif - les processus suivent un schéma
3	Ajusté - Les processus sont conséquents, clairement documentés et font l'objet de communication
4	Discipliné- Les processus sont contrôlés et mesurés
5	Optimisé - Les bonnes pratiques sont identifiées, adoptées, suivies et automatisées.

Tableau Niveaux génériques de maturité de protection de la vie privée

Niveaux génériques de maturité de protection de la vie privée
Ad Hoc 1	. Les activités ad hoc sont, avec : · Aucunes politiques définies, règles, procédures de but. · Activités par la suite plus basses, non coordonnées. · Redondances et manque de travail d'équipe et d'engagement
Répétitif 2	la politique en matière de protection de la vie privée est définie, avec : · L'engagement de la haute direction. · Conscience et engagement généraux. · Plans spécifiques dans des secteurs à haut risque.
Ajustée 3	La politique en matière de protection de la vie privée et l'organisation sont en place, avec : · Évaluation des risques appliquée. · Priorités établies et ressources allouées en conséquence. · Activités efficaces pour coordonner et déployer des commandes d'intimité
Disciplinée 4	Efficace avec gestion uniforme et constante des DP et respect des engagements,reflétée dans l'organisation avec : · Prise en considération très tôt des DP dans les systèmes et le développement de processus. · Intimité intégrée dans des fonctions objectives et l'exécution. · Surveillance annuelle à un niveau organisationnel et fonctionnel · Revues périodiques basées sur les risques.
Optimisée 5	Amélioration continuelle des politiques en matière de protection de la vie privée, des pratiques, et des commandes, avec : · Échanges systématiquement contrôlés pour l'impact sur les DP. · objectifs de ressources alloués pour réaliser la protection des DP. · Avec à niveau élevé d'objectifs à terme d'intégration, travail d'équipe, recherche de protection hors frontières

Ce modèle peut faire l'objet d'adaptation (voir ci-après le modèle de gouvernance de Microsoft à 4 niveaux).

* REF _Ref278271812 \r \h \* MERGEFORMAT Le modèle de maturité de possibilités (CMM) est une marque possédée par l'université de Carnegie Mellon (CMU) et créée en 1988