D’après un baromètre réalisé à l’occasion du Data Privacy Day, 92 % des sondés se sentent concernés par la protection de leurs données personnelles sur internet. Ces préoccupations sont omniprésentes, à la fois pour les utilisateurs et pour les entreprises qui les traitent. Mais qu’en est-il de la responsabilité de ces dernières dans ce domaine : quel département doit en assumer la responsabilité ? Les équipes produit ou juridique ? Comment peuvent-ils collaborer pour en faire une entreprise garante de la confidentialité des données ?
En entreprise, la protection des données personnelles relève généralement du service juridique. Selon une récente étude, 27 % des Data Protection Officer affirment être rattachés à la direction juridique. Cela s’explique historiquement par le fait que les réglementations en la matière émanent de plusieurs juridictions et interagissent avec d’autres obligations légales. Généralement, des fonctions de l’équipe produit ou sécurité, tels que des responsables de la conformité, des ingénieurs et des chefs de produit, sont également présentes au sein des équipes chargées de la protection des données. Cependant, ce domaine s’émancipe peu à peu en devenant un département à part entière dans certaines organisations. C’est déjà le cas pour certains acteurs majeurs de la tech qui traitent de gros volumes de données, tels qu’Apple et Google par exemple, qui dénombrent déjà plus de 30 membres au sein de leur équipe Privacy. Mais globalement, toute l’entreprise doit être concernée et doit se saisir de la notion de confidentialité de la donnée, du dirigeant à l’ingénieur qualité. Les équipes produit et juridique se complètent et apportent des aspects et points de vue différents, mais cette responsabilité incombe à chacun. Ce n’est pas seulement un domaine juridique, mais aussi un travail technique, et doit être considéré comme tel.
C’est là qu’intervient le DPO, le Data Protection Officer. Son rôle, comme stipulé par le RGPD depuis 2018, est d’assurer la conformité de l’entreprise quant aux réglementations en vigueur relatives aux données personnelles et d’assurer la confidentialité des données traitées. Ainsi, le DPO permet aux équipes de tirer avantage de l’analyse des données pour gagner en compétitivité sans prendre de risques d’un point de vue légal.
L’usage d’internet a beaucoup évolué au cours des 15 dernières années, et les internautes sont de plus en plus conscients des risques liés à leur activité en ligne. Mais les législateurs peinent à suivre l’évolution des usages et réagissent généralement trop tard pour mettre en place les mesures requises à l’encadrement des activités en ligne. Les entreprises sont alors confrontées à un dilemme : attendre les législateurs ou adopter les principes de Privacy by Design, instaurés par le RGPD pour assurer une protection optimale des données personnelles dès la conception d’une nouvelle technologie. D’autre part, les autorités ont également la possibilité d’infliger des amendes élevées pour compenser les infractions commises depuis des années, dans le but d’inciter les entreprises à faire le choix du Privacy by Design.
Le respect de la confidentialité des données endosse ainsi une image négative, car perçu comme une obligation, engendrant des coûts additionnels à travers les amendes ou les ressources allouées à la conformité, plutôt que comme une stratégie dont on peut tirer profit. En effet, la conformité au RGPD est perçue comme une contrainte pour 60 % des sondés, et 34 % affirment avoir des difficultés à embarquer les fonctions opérationnelles sur ces sujets. En effet, le niveau d’acculturation sur ces sujets reste encore trop faible.
Les entreprises qui s’en emparent et la voient comme une opportunité business sont encore trop peu nombreuses.
En considérant la privacy comme un véritable investissement, les entreprises montrent à leurs clients que leurs préoccupations sont prises en compte, et parviennent à gagner leur confiance. Mais malgré la volonté de certaines fonctions de l’entreprise de se saisir de la protection des données comme un avantage compétitif, 28 % affirment que le manque d’accès et d’écoute de la direction générale est un frein à la conduite de leurs missions. C’est pour cela que le soutien de la direction est crucial, pour que la notion de confidentialité soit mise au cœur des stratégies de l’entreprise et de ses objectifs commerciaux.
Enfin, une étroite collaboration doit être instaurée entre les équipes produit et le DPO, ou toute personne en charge de la privacy, pour discuter des changements et des formations à mettre en place de manière à ce que les équipes s’approprient le concept. Le Data Protection Officer n’est pas seulement un poste de plus dans l’entreprise. Avec de la considération de la part de la direction et des métiers de l’entreprise, il peut soutenir l’entreprise dans sa croissance.
Lentement mais sûrement, la confidentialité devient un argument de vente auprès des consommateurs et un avantage compétitif à part entière, alors que le public est de plus en plus sensibilisé à ces enjeux.