Article 14. Protection des données dès la conception et par défaut (privacy by design et by default)

Article 14. Protection des données dès la conception et par défaut (privacy by design et by default)

1. La protection de la vie privée dès la conception est celle qui impose d'adopter une approche méthodologique axée sur la gestion du risque et sur la responsabilité proactive, permettant de fixer ex ante les conditions requises en matière de vie privée auxquelles tout traitement de données doit satisfaire. La mise en œuvre efficace et efficiente des principes de protection de la vie privée exige que ces conditions requises fassent partie intégrante de la nature des traitements, des produits et des services ; elles doivent donc être prises en compte dès la phase initiale de conception, d'élaboration et de développement des traitements, des produits et des services, comme un élément de l'ensemble des spécifications, fonctionnelles et non fonctionnelles.

2. Sur la base de l'analyse de risque effectuée lors de la phase de conception, doivent être établis tant les objectifs spécifiques de protection des données que les objectifs de sécurité du point de vue de la vie privée qui garantissent les principes fondamentaux de la Loi 29/2021 , du 28 octobre, qualifiée de protection des données personnelles. Ces objectifs doivent se concrétiser dans l'élaboration de stratégies de protection de la vie privée qui identifient les conditions requises de chaque objectif.

3. La configuration par défaut, qui doit garantir que seules les données personnelles nécessaires à chaque finalité du traitement sont traitées, doit être établie dès la conception de manière à être aussi respectueuse que possible de la vie privée. Si la personne concernée n'effectue aucune action de configuration, sa vie privée doit être garantie dès le départ, dès lors qu'elle doit être intégrée au système et configurée par défaut. En tout état de cause, il convient de :

a) Fixer des critères de collecte limités à la finalité poursuivie par le traitement.

b) Limiter l'utilisation des données personnelles aux finalités pour lesquelles elles ont été collectées et s'assurer de l'existence d'une base de légitimation du traitement.

c) Restreindre les accès aux données personnelles aux parties impliquées dans les traitements, conformément au principe du need to know (ou « besoin d'en connaître ») et selon la fonction qu'elles exercent, au moyen de la création de profils d'accès différenciés.

d) Définir des durées de conservation strictes et établir des mécanismes opérationnels qui en garantissent le respect.

e) Créer des barrières technologiques et procédurales qui empêchent le rapprochement non autorisé de sources de données indépendantes.

4. Lors de la phase d'élaboration, les objectifs identifiés lors de la phase de conception doivent être développés et intégrés au moyen de décisions de conception qui régissent les procédures de mise en œuvre effective et les problèmes communs, répétables et prévisibles, et qui identifient et corrigent les vulnérabilités potentielles du système. Les mesures techniques et organisationnelles de la phase d'élaboration sont réputées correctement mises en œuvre en matière de sécurité si elles parviennent à garantir :

a) La confidentialité, en ce qu'elles empêchent les accès non autorisés aux systèmes.

b) L'intégrité, en ce qu'elles protègent les données contre les modifications ou altérations non autorisées de l'information.

c) La disponibilité, en ce qu'elles garantissent que les données et les systèmes sont disponibles lorsque cela est nécessaire.

5. Lors de la phase de développement, les modèles doivent être appliqués de manière concrète et il doit être confirmé que les conditions requises en matière de vie privée qui ont été définies ont été correctement mises en œuvre et répondent aux attentes et aux besoins des parties intéressées (vérification et validation de la protection de la vie privée).

6. Les responsables du traitement doivent se tenir informés des avancées technologiques liées au traitement, des risques et des opportunités de la technologie, ainsi que des mesures et des garanties applicables compte tenu de l'évolution du paysage technologique.

7. Les utilisateurs jouent un rôle actif dans la gestion et le contrôle de la gestion de leurs données. Pour mettre en œuvre des configurations par défaut robustes, le responsable du traitement doit informer les utilisateurs des conséquences de la modification des paramètres du service fourni sur leur vie privée.