Partie 2 : Consentement et conformité à la LFPDPPP : une perspective au regard des normes ISO/IEC 27701 et 27560

1. Introduction

Dans le prolongement de la première partie de cet article, nous examinerons plus en détail comment la loi fédérale sur la protection des données à caractère personnel détenues par des particuliers (LFPDPPP), la norme ISO/IEC 27701 et la spécification technique ISO/IEC TS 27560 non seulement coexistent, mais se renforcent mutuellement pour une gestion plus rigoureuse du consentement. Nous analyserons leurs points de convergence et proposerons des recommandations pratiques pour leur mise en œuvre dans les environnements organisationnels.

2. Synergies pour la conformité

La véritable force de ces cadres réside dans leurs points de connexion essentiels, où ils se renforcent mutuellement pour former un système solide de gestion du consentement.

2.1. Le consentement en tant que fondement juridique unique

Ces trois cadres s'accordent sur le principe selon lequel le consentement constitue une base juridique essentielle pour le traitement des données à caractère personnel, en particulier pour celles qui ne relèvent pas d'autres bases légitimes (par exemple, un contrat ou un intérêt légitime).

• La LFPDPPP définit l'exigence légale fondamentale.
• La norme ISO/IEC 27701 prévoit des mesures de gestion visant à garantir que cette exigence soit systématiquement respectée.
• La norme ISO/IEC TS 27560 apporte un niveau de précision supplémentaire en imposant des exigences structurées pour l'enregistrement du consentement. Cela inclut, par exemple, la nécessité de disposer d'identifiants uniques pour chaque cas de consentement.

2.2. L'information et les mesures de sécurité en tant que mécanismes de responsabilisation

L'information et les mesures de sécurité sont essentielles à une responsabilité effective (accountability).

• La LFPDPPP exige la mise à disposition d'une déclaration de confidentialité claire et complète.
• Les normes ISO/IEC 27701 et ISO/IEC TS 27560 vont encore plus loin en exigeant que les organisations documentent et conservent les versions exactes des déclarations de confidentialité qui ont été présentées à la personne concernée au moment de l'obtention du consentement.

Cela s'inscrit parfaitement dans le principe de responsabilité prévu par la LFPDPPP, qui exige des responsables du traitement qu'ils démontrent avoir pris les mesures nécessaires pour protéger les données à caractère personnel.

2.3. Droits du titulaire et « Consent Receipt »

L'exercice des droits de la personne concernée est un élément central de la protection des données à caractère personnel.

• La LFPDPPP prévoit les droits ARCO.
• La norme ISO/IEC TS 27560 formalise le concept de « consent receipt » (reçu de consentement). Ce mécanisme permet à la personne concernée de conserver une copie vérifiable et structurée du consentement qu'elle a donné, comprenant les informations essentielles s'y rapportant. Ce reçu sert non seulement de preuve pour le titulaire, mais renforce et facilite également l'exercice des droits ARCO en fournissant au titulaire une référence claire et vérifiable de son consentement, ce qui peut accélérer les demandes d'accès, de rectification ou de révocation.

2.4. Sécurité, intégrité et conservation

La protection du registre des consentements est tout aussi importante que l'obtention initiale des consentements.

• La norme ISO/IEC TS 27560 impose des contrôles d'intégrité pour les enregistrements de consentement, grâce à des identifiants uniques et à des modèles de structure d'information qui rendent leur altération difficile. Cela garantit que l'enregistrement de consentement ne peut pas être modifié après avoir été obtenu.
• La norme ISO/IEC 27701 vient compléter cela en proposant des mesures techniques et de gouvernance solides pour la sécurité de l'information.
• La LFPDPPP impose l'obligation de mettre en place des mesures de sécurité pour les données à caractère personnel, ce qui, par extension, englobe la protection des registres de consentement. La conservation adéquate de ces registres est essentielle pour démontrer la conformité au fil du temps.

3. Harmonisation des cadres : recommandations pratiques pour la mise en œuvre

La mise en œuvre de la LFPDPPP, de la norme ISO/IEC 27701 et de la norme ISO/IEC TS 27560 nécessite une approche systématique et la mise en place de pratiques concrètes. Je présente ci-dessous quelques recommandations clés pour parvenir à cette harmonisation :

✔️ Mettre en place des structures conformes à la norme ISO/IEC TS 27560: les organisations doivent aligner leurs systèmes d'enregistrement des consentements sur les sections et les champs requis par la norme ISO/IEC TS 27560. Cette normalisation améliore non seulement la traçabilité, mais facilite également l'interopérabilité avec d'autres plateformes ou services.

✔️ Gérer les versions des avis et consigner leur présentation: il est impératif de conserver un historique détaillé de toutes les versions de la déclaration de confidentialité qui ont été mises à disposition. Chaque enregistrement de consentement doit inclure une référence précise à la version exacte de la déclaration de confidentialité qui a été acceptée par la personne concernée, ainsi que la date, l'heure, le canal et la méthode d'acceptation (par exemple, cocher une case, signature électronique).

✔️ Délivrer des accusés de réception de consentement au titulaire: Développer ou adapter des systèmes permettant de délivrer des « consent receipts » au titulaire des données, conformément à la structure et au contenu définis par la norme ISO/IEC TS 27560. Ces accusés de réception doivent être facilement accessibles et vérifiables par le titulaire ; ils servent de preuve de son consentement et facilitent l'exercice de ses droits ARCO.

✔️ Vérifier l'intégrité et la traçabilité des enregistrements: mettre en place des procédures permettant de vérifier régulièrement que les enregistrements de consentement stockés conservent leur intégrité et leur validité, et qu'ils respectent les structures définies.

4. Conclusions

La convergence entre la LFPDPPP, la norme ISO/IEC 27701 et la spécification technique ISO/IEC TS 27560 offre une occasion unique d'améliorer la maturité de la gestion du consentement au sein des organisations. En intégrant ces cadres, les entreprises peuvent aller au-delà de la simple conformité légale et adopter une approche proactive en matière de protection de la vie privée.

En fin de compte, l'intégration de ces cadres n'est pas seulement une pratique recommandée d'un point de vue technique ou réglementaire, mais aussi une stratégie fondamentale en matière de gouvernance et de transparence.

Références :

• Loi fédérale sur la protection des données à caractère personnel détenues par des particuliers (Mexique).
• ISO/IEC 27701:2019, Techniques de sécurité — Extension des normes ISO/IEC 27001 et ISO/IEC 27002 pour la gestion des informations relatives à la vie privée.
• ^{ISO/IEC 1} TS 27560:2023, Technologies de protection de la vie privée — Structure d'information relative à l'enregistrement du consentement.