Le Guide du PM Digital sur la Protection de la Vie Privée

Lisez la transcription :

Nous testons la transcription de nos podcasts à l'aide d'un logiciel. Veuillez excuser les fautes éventuelles car le robot ne corrige pas tout à 100%.

Galen Low : Bonjour à toutes et à tous, merci de nous écouter. Je m'appelle Galen Low et je fais partie de The Digital Project Manager. Nous sommes une communauté de professionnels du numérique, dont la mission est de s'entraider à développer des compétences, à gagner en confiance et à créer des liens pour que la gestion de projet ait davantage d'impact dans le monde digital. Si cela vous intéresse, rejoignez-nous sur thedigitalprojectmanager.com/membership.

Aujourd'hui, nous parlons de la confidentialité et de la façon dont nous, en tant que chefs de projet digitaux, devons prendre en compte les récents changements technologiques et législatifs dans nos projets en lien avec la vie privée. Pour en discuter aujourd'hui, l'une de nos expertes de la communauté de la gestion de projets digitaux et Delivery Principal chez Thoughtworks, Mme Mackenzie Dysart.

Mackenzie, merci d'être avec moi aujourd'hui.

Mackenzie Dysart : Merci de m'accueillir. Je suis ravie de ce moment d'échange.

Galen Low : Moi aussi, j'ai hâte. Pour nos auditeurs, Mackenzie et moi travaillons ensemble depuis des années mais je me suis rendu compte que je ne l'avais jamais invitée sur le podcast quand j'étais à la barre. Eh bien, c'est désormais chose faite.

Et aujourd'hui, on change la donne. Pour celles et ceux qui ne te connaissent pas, tu es connue pour relever des défis où il faut convaincre et motiver les gens face à des challenges ardus. Tu as été une championne de l’accessibilité et tu es maintenant à l’avant-garde des questions de confidentialité dans les projets digitaux, autant dans ton travail qu'au sein de notre communauté.

Donc ton ADN, c’est affronter des difficultés et amener les gens à changer de regard.

Mackenzie Dysart : Difficile, difficile, citron difficile. Voilà ma devise !

Galen Low : Les aspects les moins sexy du management de projet, défends-les s'il te plaît !

Mackenzie Dysart : Je suis là pour ça.

Galen Low : J’adore !

Tu me disais que la question de la confidentialité s’est imposée progressivement. Tu ne l’as pas vraiment voulue, mais plutôt acceptée ?

Mackenzie Dysart : On va dire que j'ai sauté dedans. Cela fait deux ans et demi que je travaille avec mon client actuel. Il y a environ un an, ils m’ont dit : « Ok, le projet sur lequel tu travaillais, on va passer à autre chose, prêt pour une nouvelle mission ». Super excitant. Mais ils ont ajouté, la confidentialité a besoin de soutien. Il y a beaucoup de chose à faire, pas de processus, ils ne savent pas collaborer avec les produits, ils ont besoin d’aide. Donc j’ai dit « OK ». Depuis un an, j’apprends tout sur la confidentialité et c’est impressionnant, mais tout comme l’accessibilité, c’est juste ce qu’il faut faire pour les gens.

Et je pense qu'il est important de comprendre la valeur ajoutée et les bénéfices, au-delà des lois. Il s’agit vraiment de respecter les gens. Parfois, on se focalise sur la difficulté au lieu de s’attarder sur des histoires qui montrent l’importance de ces sujets. En résumé, cela fait un an. J’ai beaucoup appris, je travaille avec des personnes très intelligentes – et aussi des gens coriaces – mais on a des conversations difficiles qui, au final, mènent à de meilleurs produits, de meilleurs services pour les utilisateurs. Voilà la cause qui me tient à cœur : faire ce qu’il faut pour les utilisateurs et pour les personnes.

Donc sans surprise, ce sont toujours les sujets ingrats qui reviennent. Me voici prête à parler de confidentialité, pourquoi c’est essentiel et pourquoi cela devrait vous importer.

Galen Low : J’adore ce point de vue car c’est une cause noble. J’ai déjà participé à des projets où c’est vécu comme une formalité administrative et pas une amélioration de l’expérience utilisateur. Mais tu rappelles que tout cela sert d’abord à faire bien pour nos utilisateurs.

Et je trouve cela fascinant. Dans mes discussions et les tiennes, la question de la confidentialité des données reste de plus en plus au premier plan. Stocker des données n’est pas une nouveauté, tout comme les informations personnelles identifiables. Mais l’importance de bien gérer la confidentialité, d'avoir des processus, a changé. C'est désormais clé de l'intégrer dans tout ce que l'on construit, surtout autour des solutions digitales. Mais au-delà de cela, j’avoue être naïf.

Est-ce que tu pourrais nous expliquer ce qui différencie la confidentialité des données aujourd’hui de ce qu’elle était il y a 5 ou 10 ans ? Qu’est-ce qui a tout changé ?

Mackenzie Dysart : Il y a dix ans, notre seule inquiétude, c’étaient les fuites de données. Où étaient stockées les données personnelles, et s’assurer qu'elles étaient protégées. Les lois sur la confidentialité des données s’arrêtaient là. Puis en 2016, le RGPD est apparu, c’est la première législation qui dit que les gens doivent avoir le contrôle sur ce qu’on trace à leur sujet en ligne, surtout sur les sites web.

C’est là qu’ont commencé les fameux bandeaux cookies. Désormais, cela ne nous dérange plus parce que c’est devenu omniprésent, mais cette mesure est la première étape vers l’idée de « les utilisateurs doivent consentir et savoir ce qu’on fait avec leurs données, et avoir le choix ».

Ensuite, on a vu apparaître la loi californienne sur la vie privée en 2020, puis la CPRA en 2021 aux États-Unis. Depuis, de plus en plus d’états américains créent leurs propres lois. Au Royaume-Uni et dans l’UE, la protection est déjà plus avancée et coordonnée au niveau fédéral, c’est donc plus simple à appliquer. L’Australie a ses lois. Le Canada aussi, c’est la loi appelée LPRPDE.

Galen Low : Oui, la LPRPDE !

Mackenzie Dysart : Voilà ! Tous ces acronymes… Mais on voit émerger des lois tout le temps pour protéger les données des personnes, car la société évolue dans l'utilisation des données ! Avant, on ne voulait pas que des fuites entraînent des usurpations d’identité. Aujourd’hui, il y a beaucoup d’autres raisons d’être attentif à ses données.

Par exemple, l’histoire assez connue de cette adolescente qui a reçu un coupon pour des produits pour bébés après avoir cherché des infos en ligne et… cela a dévoilé à son père qu’elle était enceinte. Ou encore, une anecdote où une femme divorcée a gardé la voiture, mais son ex peut toujours suivre ses trajets car son accès n’est pas révoqué à cause de la conception du système embarqué du véhicule.

Avec la technologie de plus en plus intelligente, on collecte plus de données, et il faut se demander ce qu’on en fait. Les données de santé, ce qu’elles deviennent si elles franchissent une frontière ? Et la notion même de données personnelles sensibles s’est élargie : race, genre, biométrie comme les photos de visage, c’est aussi de la donnée biométrique désormais. J’y avais jamais pensé et pourtant, c’est majeur.

Je n’ai jamais été trop inquiète concernant la vie privée sur Internet. Au début, je mettais des faux noms sur Hotmail puis j’ai décidé d’utiliser ma vraie identité. Maintenant, je réalise comment tout circule, comment les systèmes exploitent, partagent, ou revendent les données. Le scandale Cambridge Analytica a marqué les esprits, tout comme la manipulation à partir de l’activité sur Facebook. Beaucoup de lois visent à empêcher cela, à limiter ou exiger le consentement, à redonner le contrôle à l’utilisateur final. C’est le but de toutes ces législations : rendre le pouvoir à l’utilisateur au lieu de décider arbitrairement pour lui.

Galen Low : C’est ce que je trouve fascinant. Deux points importants : la technologie évolue, c’est plus personnalisé, plus pratique, mais le prix à payer, c’est la donnée. Ensuite, il y a la prise de conscience. Avant, une fuite de carte bancaire, c’était grave mais abstrait — aujourd’hui, c’est devenu central, on comprend mieux ce qui peut arriver à nos données, et comment leur contrôle revient (ou doit revenir) à l’utilisateur final. Mais il faut poursuivre la pédagogie et la transparence sur ces usages… et le malaise quand on parle de revente des données est devenu le sujet principal.

À propos des photos, certains outils font de la reconnaissance faciale pour vérifier s’il s’agit bien de la même personne sur plusieurs réseaux sociaux. Derrière, le traitement des données va beaucoup plus loin, il sort du simple achat et revente pour être intégré dans les fonctionnalités de services, et l’utilisateur n’a pas toujours conscience de ce qu’on traite.

Mackenzie Dysart : Oui, et la quantité de données que l’on fournit sur les autres est aussi très intéressante… ça mériterait un débat à part entière.

Galen Low : C’est vrai. D’un point de vue projet, on n’a pas un temps et un budget infini pour être irréprochable côté confidentialité. Mais même un minimum de cadre process peut déjà aider. Est-ce que, pour tous les projets digitaux (comme les sites web, applications, réalité augmentée, jeux vidéo, etc.), la confidentialité doit systématiquement être considérée ? Et quel est le risque si ce n’est pas intégré dès le départ ?

Mackenzie Dysart : En résumé : oui. Tout doit aujourd’hui intégrer la dimension de la confidentialité. Il est essentiel de comprendre quelles données on collecte.

Pour un site web, il y a deux cas : l'utilisateur non authentifié (où l’on traque juste les cookies et sessions, la logique RGPD) et l’utilisateur connecté. Pour les bandeaux cookies, chaque pays a ses règles sur l’implication du consentement. Aux États-Unis, fermer le pop-up peut valoir consentement ; ce n'est pas le cas sous RGPD ou au Canada. Il faut donc connaître les réglementations de chaque territoire où vous opérez, adapter vos processus internes et valider chaque ajout de pixel ou de cookie afin d’être conforme.

Pour les utilisateurs authentifiés, quelles données stockez-vous, et que deviennent-elles ? La « vente de données » ne se limite pas à la revente à un tiers, c’est tout transfert à but lucratif dans un parcours, même entre vos propres outils d’analyse ou CRM. Cela nécessite de comprendre où sont hébergées les données, comment elles sont transférées, et si elles sont anonymisées ou encryptées.

Trois principes sont toujours valables : notification (informer sur les traitements et choix possibles), consentement (collecter la décision), contrôle (permettre de changer d’avis). Sans notification, pas de consentement valable. Le contrôle reste la meilleure pratique, et garder cela à l’esprit tout au long du projet est crucial.

Galen Low : Tout ceci paraît coûteux. Il existe sûrement des plateformes pour faciliter la gestion et la catégorisation des données, y compris la gestion des droits de suppression — mais on se doute que cela représente un vrai poste budgétaire, non ?

Mackenzie Dysart : Oui, cela peut l’être. Si vous êtes une organisation qui développe un produit, il faut réfléchir très tôt à comment gérer ça. Intégrer les aspects privacy, legal, compliance et sécurité dès le début coûte bien moins cher qu’essayer de rattraper plus tard. Pour le RGPD et la gestion du consentement cookies, il existe des solutions comme One Trust qui simplifient tout le suivi, au moins pour la partie web.

Mais tout dépend de votre stack technique. Certaines parties peuvent être automatisées, d'autres nécessitent des traitements manuels, surtout si les systèmes ne sont pas interconnectés. Cela demande du travail, parfois manuel, mais c’est toujours plus simple si on l’anticipe dès la conception. Peut-être ne serez-vous pas 100% conforme dès le lancement, mais si vous construisez de façon à rendre la conformité accessible à l’avenir, c’est déjà très bien.

Galen Low : C’est un peu comme l’accessibilité ou le responsive web design : au début, c’était un poste en plus, puis c’est devenu la norme, partie intégrante de la qualité globale. Et c’est aujourd’hui un argument commercial, la capacité à intégrer la vie privée est aussi un avantage compétitif. Cela coûte plus cher, c’est plus difficile, mais c’est attendu et parfois obligatoire. Les agences qui préfèrent fermer les yeux prennent le risque de voir leurs clients se tourner ailleurs, surtout avec les amendes potentielles RGPD !

Mackenzie Dysart : Tout à fait. De plus, même sans être expert, il suffit de saisir les grands principes, de former son équipe à se poser les bonnes questions et de bien s’entourer, côté légal notamment lorsque de nouvelles données sont collectées. Il s’agit de mettre en place des processus et de définir les signaux d’alerte. Dès qu’il y a collecte de nouvelles données, on doit consulter l’équipe privacy et anticiper l’intégration dans le process de suppression de données, automatisé si possible. Dès qu’on traite différemment une donnée existante, il faut s’interroger aussi.

Intégrer le privacy review dans chaque projet est essentiel : il faut toujours avoir un partenaire légal à solliciter, ou s’assurer que le client dispose de ressources compétentes dans ce domaine. Plus on intègre ces acteurs tôt, moins il y aura de blocages ou de délais imprévus. La philosophie « shift left » s’applique parfaitement : plus on anticipe, plus ce sera simple !

Galen Low : Cela nécessite de convaincre les clients d’impliquer ces parties prenantes tôt… Alors que souvent, on reporte ces sujets à la dernière minute en agence.

Mackenzie Dysart : Il suffit au minimum de réunir tout le monde au démarrage ; ils n'ont pas besoin d’être là tout au long du projet mais chacun connaît le contexte. C’est comme si l’on était tous sur le même bateau : certains peuvent rester sur le pont, mais tout le monde part dans la même direction.

Galen Low : J’aime aussi cette idée d’écosystème, car tous les acteurs (prestataire, client, culture interne et fournisseurs tiers) doivent être alignés sur la vie privée, sinon la chaîne présente une faille — or les réunions où tout le monde est autour de la table sont rares.

Dans le monde réel, la tentation est grande de réduire tout ce qui relève de la conformité quand il s’agit de tenir les délais ou de réduire les coûts. Quels arguments pourrions-nous utiliser pour convaincre de ne pas aller à l’économie sur la vie privée ?

Mackenzie Dysart : Le plus simple à comprendre est que plus les problèmes de privacy sont détectés tard, plus ils coûtent cher à corriger. Corriger en rétrofit coûte cher et donne souvent un résultat bancal. Il y a un vrai risque business à retarder ces sujets. Ensuite, bien sûr, il s’agit aussi de faire ce qu’il faut humainement. Mais les enjeux financiers sont énormes : le RGPD prévoit jusqu’à 20 millions de livres ou 4% du CA mondial d’amende maximale en cas de non-conformité. Pour les États américains, c’est 7 500 $ par infraction et par individu, ce qui peut conduire à des actions collectives monstrueuses. La nouvelle loi sur la santé de l’État de Washington prévoit 25 000 $ par individu si on peut prouver un préjudice, ce qui peut grimper vite en cas de dossiers massifs.

Au-delà du risque financier, il y a le risque réputationnel. Les utilisateurs sont de plus en plus attentifs à la vie privée. Certaines lois changent régulièrement, par exemple autour des mineurs et des réseaux sociaux — et même les forums ou communautés en ligne peuvent être concernés par ces lois.

Construire « privacy by design », « accessible by design », « secure by design », c’est un petit effort initial, mais un gain énorme (réduction des remaniements et risques légaux) sur le long terme. Peut-être que la conformité totale ne sera pas là dès le jour 1, mais il faut au moins préparer l’infrastructure pour permettre l’évolution (possibilité pour l’utilisateur de changer d’avis, de s’opposer, etc).

Galen Low : On constate que la vie privée est dorénavant culturelle, ce qui amène le marché à devenir irréprochable, ne serait-ce que pour éviter les sanctions. Cela pousse toute la filière à intégrer de bonnes pratiques, parfois sans même y croire, mais c’est inévitable pour rester compétitif. La sélection des prestataires se fera aussi là-dessus.

Mackenzie Dysart : C’est un vrai atout distinctif. Même si ce n’est pas demandé dans l'appel d’offres, c’est crucial de préempter le sujet et d’annoncer notre démarche privacy dès la proposition commerciale, en assumant les bonnes pratiques et en laissant au client la responsabilité du niveau d’exigence souhaité. Ce n’est pas si compliqué de commencer : en un an, j’ai compris les grands principes… Pas besoin de tout savoir, il faut surtout savoir poser les bonnes questions et s’assurer que tout est pris en compte pour éviter de mauvaises surprises et d’engendrer des surcoûts non anticipés, ce que les clients ne veulent généralement pas voir. La transparence est essentielle, et la privacy doit peu à peu devenir une ligne intégrée nativement dans le budget — exactement comme le responsive ou l’accessibilité.

Galen Low : L’aspect formation est fondamental : partager les savoirs, poser des questions, cela tire tout le monde vers le haut mais peut mettre mal à l’aise…

Parlons éthique. Il y a toujours des équipes, voire des clients, qui veulent aller vite ou collecter un maximum de données pour du marketing personnalisé — et parfois, cela frôle l’illégalité ou l’immoralité. Comment créer une culture d’équipe où chaque membre se sent légitime pour tirer la sonnette d’alarme ?

Mackenzie Dysart : Il faut mener par l’exemple. Ce n’est pas forcément dénoncer, c’est parfois simplement demander « On fait quoi ? Avons-nous le consentement ? Est-ce nécessaire ? Peut-on faire autrement ? ». Ce n’est pas grave de poser des questions naïves, cela libère la parole et rassure ceux qui n’osent pas. Créer la sécurité psychologique est clé.

Il faut aussi être honnête sur les limites du système : parfois, il n’existe pas de solution simple, alors comment faire le prochain pas en avant ? Et si un client ne veut rien entendre, on documente le risque, on émet nos recommandations, et ensuite, c’est sa prise de risque à lui.

Dans ce cas-là, réjouissons-nous au moins de ne pas être salarié dans l’organisation qui s’y refuse !

Galen Low : C’est ce qu’on appelle des choix ! Faire ce qui a du sens, ce n’est pas toujours là où il y a le plus d’argent, mais c’est porteur de sens et d’impact pour les usagers.

Mackenzie Dysart : C’est le sens, tout simplement.

Galen Low : Super-héros de la vie privée !

Mackenzie Dysart : Je veux une cape marquée « Vie privée » !

Galen Low : Je ne suis pas sûr des résultats si on cherche une cape de confidentialité sur Amazon...

Mackenzie Dysart : Je préfère ne pas savoir !

Galen Low : Reprenons la discussion sur les clients qui négligent la vie privée par manque d’intérêt ou de temps jusqu’à ce que la réglementation les rattrape. Il y a souvent du retard, mais à partir de quand est-il trop tard ? Pour une organisation qui ne s’est jamais préoccupée de conformité, est-ce déjà fichu ou est-elle comme beaucoup d’autres ?

Mackenzie Dysart : C’est inquiétant, mais ils sont nombreux dans ce cas. Le plus important reste la typologie et la sensibilité des données manipulées. Moderniser son système est compliqué surtout avec des bases anciennes et multiples. Plus on tarde, plus c’est difficile et cher.

Pendant longtemps, personne n’a réalisé l’impact que le droit d’accès ou de suppression allait avoir. Récupérer toutes les données concernant un individu, être capable de les corriger, de les restituer au format lisible, ou de tout effacer sur demande... c’est difficile pour les entreprises anciennes dont les systèmes sont fragmentés et déconnectés. Il ne faut pas se décourager et avancer pas à pas. Les régulateurs préfèrent souvent que vous présentiez un plan concret d’amélioration sur 6, 12, 24, voire 36 mois que d’ignorer le sujet. Sans action, le risque juridique s’accroît, surtout avec des cabinets d’avocats avides de class actions dès l’entrée en vigueur d’une nouvelle loi, visant toujours de grandes entreprises.

Par ailleurs, d’anciennes lois peuvent voir leur portée étendue à l’ère digitale. Par exemple, le Video Privacy Protection Act (VIPPA) interdisait déjà dans les années 80 de partager votre historique de location vidéo sans consentement ; on l’utilise aujourd’hui pour poursuivre ceux qui tracent le visionnage sur des plateformes de streaming via les pixels de tracking. De vieilles législations sont ainsi détournées pour être appliquées aux technologies actuelles !

Galen Low : C’est fascinant l'adaptabilité du droit… Et de voir que la préoccupation est passée en quelques décennies de la cassette vidéo à la géolocalisation en voiture ! Je suis heureux que la conversation change.

Mackenzie Dysart : Une chose à laquelle je pense désormais beaucoup est la synchronisation des contacts avec une application. Dès que j’autorise le partage de mes contacts, d’un coup, une appli tierce possède toutes les infos de mes amis/collègues sans leur consentement. Meta propose un processus pour faire supprimer ses datas, mais tous n'ont pas cette maturité technique… Idem pour la synchronisation dans les voitures. Une fois transférées en Bluetooth, les données existent dans le système de la voiture sans contrôle… C’est l’exemple qui m’a vraiment marquée. Maintenant j’y réfléchirai à deux fois !

Galen Low : De quoi faire des cauchemars !

Mackenzie Dysart : Désolée !

Galen Low : Je ne sais même pas combien d’endroits abritent mes données sans mon accord...

Mackenzie Dysart : Ton nom est sûrement dans bien des voitures !

Galen Low : Mackenzie, cette discussion fut passionnante. J’ai appris énormément, je pense que nos auditeurs aussi. On pourrait en faire un livre, ou au moins un second épisode !

Toutefois, il y a déjà beaucoup de bonnes pratiques et des pistes de réflexion pour tous les acteurs du digital, chefs de projet ou non. La confidentialité n’est pas juste une case à cocher ; le bénéfice est réel et c'est une cause qui vaut la peine d'être défendue.

Mackenzie Dysart : Exactement !

Galen Low : Et ce n’est pas anodin : entre la protection des enfants et le risque d’amendes colossales, l’argument est assez facile à présenter.

Mackenzie Dysart : Absolument.

Galen Low : Pensez aux enfants… et à ne pas lâcher 4% de votre chiffre d’affaires mondial !

Mackenzie, merci infiniment pour ce moment. C’était un réel plaisir.

Mackenzie Dysart : Merci de m’avoir invitée, c’était génial !

Galen Low : Voilà, chers auditeurs, si vous souhaitez discuter avec plus de mille passionnés de la gestion de projet digital ou en savoir plus, rendez-vous sur thedigitalprojectmanager.com/membership. Et si cet épisode vous a plu, abonnez-vous sur thedigitalprojectmanager.com.

À la prochaine et merci pour votre écoute.