La Cour suprême de l’Illinois a statué, à la mi-février , , que la société White Castle System Inc. devait répondre des accusations selon lesquelles elle aurait enfreint à plusieurs reprises la loi de l’État sur la protection des données biométriques (Biometric Information Privacy Act) en scannant les empreintes digitales de près de 9 500 salariés sans leur consentement. Le géant de la restauration rapide a déclaré que cette décision pourrait lui coûter plus de 17 milliards de dollars.
Et l'année dernière, Meta Platforms , propriétaire de Facebook, a accepté de verser 650 millions de dollars pour régler les plaintes selon lesquelles l'entreprise aurait enfreint la loi de l'Illinois en collectant et en stockant les données biométriques des utilisateurs du site web sans leur autorisation.
Ces coûts et conséquences colossaux ont incité davantage de conseils d’administration à donner la priorité à la protection des données dans le cadre de l’ , à augmenter les moyens financiers alloués à cette question et à promouvoir le principe de « protection de la vie privée dès la conception », selon le rapport « Privacy in Practice 2023 » de l’ISACA , une enquête menée auprès de 1 890 membres possédant une expertise certifiée en cybersécurité ou en protection de la vie privée.
Environ 55 % des personnes interrogées ont déclaré que leur conseil d'administration accordait une attention suffisante à la protection de la vie privée. Cela se traduit par une hausse du nombre d’entreprises appliquant le principe de « protection de la vie privée dès la conception » — ce chiffre est passé à 30 %, contre 28 % l’année précédente — ainsi que par une augmentation du nombre moyen d’employés à temps plein chargés de missions liées à la protection de la vie privée au sein d’une organisation, qui est passé de 25 à 26 .
« Les lois et réglementations relatives à la protection de la vie privée ont un impact véritablement considérable », déclare Safia Kazi, conseillère spécialisée dans la protection de la vie privée auprès de l'ISACA (Information Systems Audit and Control Association). Les conseils d'administration prennent conscience que « les organisations qui ne respectent pas les règles risquent de faire la une des journaux parce qu'elles n'ont pas agi comme il se doit ».
«» : des utilisateurs ont commencé à recevoir des chèques de la part de Facebook en raison d’une utilisation abusive de leurs données biométriques. Et ils disent : « Attendez un peu… » « Que s'est-il passé exactement avec mes données ? » »Safia Kazi, conseillère en pratiques professionnelles en matière de protection de la vie privée, ISACA
Selon M. Kazi, les lois et réglementations incitent à accorder davantage d'importance à la sécurité, non seulement en raison des risques de responsabilité civile pour les entreprises, mais aussi parce qu'elles sensibilisent davantage les consommateurs aux risques d'exposition de leurs données personnelles.
« Des personnes ont commencé à recevoir des chèques de la part de Facebook en raison d’une utilisation abusive de leurs données biométriques. » Et ils disent : « Attendez un peu : j'ai reçu un chèque de 300 dollars de la part de Facebook. » Pourquoi donc ? « Que s’est-il passé exactement avec mes données ? », explique-t-elle.
Grâce à cette prise de conscience croissante, les consommateurs pourraient prendre des décisions plus éclairées quant aux entreprises auxquelles ils confient leur clientèle — et leurs données, explique M. Kazi. « Lorsqu’ils ont le choix entre plusieurs options, ils peuvent opter pour celle dont ils savent qu’elle donne de bons résultats. »
En matière de sécurité des données, « bien faire les choses » signifie mettre en œuvre à la fois une gestion efficace de la confidentialité des données par la « » (qui s’appuie sur des logiciels pour analyser les réseaux, les systèmes cloud, les terminaux et les applications afin de localiser l’emplacement des données sensibles) et la « protection de la vie privée dès la conception » (une pratique qui prend de plus en plus d’importance à mesure que nous stockons et partageons des volumes croissants de données personnelles en ligne).
Les entreprises qui n'accordent pas la priorité à la protection des données se retrouveront à la traîne sur le marché. « Vos concurrents font peut-être mieux que vous, et vous vous retrouverez dans une situation très défavorable si vous n’agissez pas », déclare Kazi.
Qu'est-ce que la « protection de la vie privée dès la conception » exactement ?
Le principe de « protection de la vie privée dès la conception » consiste à mettre en place des pratiques sécurisées tout au long du cycle de développement et de maintenance d'un projet, en commençant par faire intervenir des spécialistes de la protection de la vie privée dès la sélection des prestataires.
Cela nécessite bien sûr du personnel. Les entreprises qui appliquent le principe de « protection de la vie privée dès la conception » ont généralement des effectifs plus importants, ont indiqué les personnes interrogées. Leur effectif médian s'élevait à 19 personnes, contre 10 pour l'ensemble des entreprises. Cependant, certains conseils d'administration pourraient ne pas souhaiter financer de tels effectifs, car ils considèrent les initiatives en matière de protection de la vie privée comme une charge financière. En effet, 42 % des personnes interrogées dans le cadre de cette enquête ont déclaré que le budget consacré à la protection de la vie privée au sein de leur entreprise était insuffisant, que ce soit dans une certaine mesure ou de manière significative.
Les risques juridiques potentiels et la mauvaise presse devraient à eux seuls inciter les entreprises à accorder la priorité à la sécurité des données d’ et à l’intégrer dès le début, mais le fait de ne prendre en compte la protection de la vie privée qu’en second lieu peut également alourdir considérablement le coût d’un projet. Si les spécialistes de la protection de la vie privée interviennent à un stade avancé du processus et détectent des failles graves, explique M. Kazi, « cela entraînera un important travail de refonte — et pourrait nécessiter de trouver de nouveaux prestataires ou de modifier considérablement le fonctionnement des systèmes ».
La pénurie de personnel dans le domaine de la protection de la vie privée persiste
Même si le nombre moyen de professionnels de la protection de la vie privée au sein d'une entreprise a légèrement augmenté, le manque de personnel reste un problème majeur.
Les postes techniques liés à la protection de la vie privée restent plus en sous-effectif que ceux liés aux aspects juridiques et à la conformité, 53 % des personnes interrogées indiquant qu'elles sont en sous-effectif, dans une certaine mesure ou de manière significative, sur le plan technique. En comparaison, 44 % d'entre eux déclarent manquer de personnel dans le domaine juridique et de la conformité.
« De nombreuses organisations souhaitent recruter cette perle rare qui possède des années d’expérience juridique, éventuellement un diplôme de droit, et qui maîtrise l’ensemble des lois et réglementations tout en ayant de solides compétences techniques », explique Kazi. « Je pense que les organisations doivent faire preuve de réalisme. »
Environ la moitié des personnes interrogées forment des employés n’ayant pas de compétences en matière de protection de la vie privée afin de combler ce manque, tandis que près de 40 % ont recours de manière accrue à des travailleurs contractuels ou à des consultants externes.
M. Kazi estime que la meilleure façon de combler ce manque serait de faire en sorte que les employés actuels souhaitant se réorienter vers la protection de la vie privée accompagnent des consultants dans le cadre de plusieurs projets ou pendant une certaine période, de sorte que, lorsque les consultants partiront, ces employés disposent des connaissances et de l’expérience nécessaires pour prendre la relève.
Même si le respect de la vie privée dès la conception peut nécessiter davantage de personnel et/ou accorder une plus grande importance à la formation du personnel, les avantages sont considérables. Selon l'ISACA, les entreprises qui appliquent le principe de « protection de la vie privée dès la conception » bénéficient d'un avantage. Selon cette enquête, près des deux tiers de ces entreprises se disent tout à fait ou assez confiantes quant à leur capacité à garantir la confidentialité des données sensibles, contre 40 % de l'ensemble des personnes interrogées.
La sécurité des données commence par la protection des informations les plus sensibles
En attendant, les professionnels de la protection de la vie privée travaillant dans une entreprise en sous-effectif devraient s'efforcer de hiérarchiser leurs priorités et de se concentrer sur les domaines où les données sont particulièrement sensibles .
« Il se peut qu’il y ait quelque chose qui concerne les informations de santé », dit-elle. C'est un sujet sur lequel les professionnels de la protection de la vie privée doivent se pencher davantage que, par exemple, une campagne marketing visant à collecter des adresses e-mail. Malgré tout, elle estime que les spécialistes de la protection de la vie privée « devraient vraiment passer au crible tous les projets en cours ».
L'intelligence artificielle ne permettra sans doute pas de résoudre la pénurie de main-d'œuvre. Dans l'enquête « 2022 » de l'ISACA, environ un répondant sur cinq a déclaré qu'il prévoyait de commencer à utiliser l'IA au cours des 12 prochains mois. Mais cette fois-ci, ce chiffre n'était que de 11 %.
« Je ne sais pas si les professionnels de la protection de la vie privée se sentent déjà à l’aise à l’idée de confier cette tâche à un système automatisé », déclare M. Kazi. L'IA est peut-être très utile pour les réponses automatiques aux e-mails, mais en matière de confidentialité, les enjeux sont peut-être trop importants.
« Si cela n’est pas fait correctement », dit-elle, « cela pourrait avoir des conséquences catastrophiques. »
