CDPSE Certified Data Privacy Solutions Engineer.

À quoi sert CDPSE

CDPSE est la réponse de l'ISACA à une lacune apparue dès lors que la protection des données a cessé d'être un exercice purement juridique. Rédiger une politique de confidentialité, cartographier les bases légales et répondre aux demandes des personnes concernées relèvent du travail d'un délégué à la protection des données.

Mais rien de tout cela n'empêche une API défaillante d'exposer des données personnelles, ne garantit que la pseudonymisation est correctement appliquée, ni n'intègre la logique de consentement et de conservation dans un système avant sa mise en production. CDPSE certifie les personnes qui accomplissent ce travail technique : les ingénieurs, architectes et professionnels de la sécurité qui traduisent les obligations de confidentialité en systèmes et contrôles opérationnels.

Telle est la posture qui définit cette certification. Elle est le pendant côté ingénierie des certifications DPO et CDPO, centrées sur la politique, et non une concurrente de celles-ci. Un DPO décide ce que l'organisation doit faire pour se conformer ; un titulaire CDPSE construit les contrôles qui rendent la conformité réelle et vérifiable. Dans les programmes matures, les deux rôles siègent de part et d'autre de la même table, ce qui explique pourquoi CDPSE est positionnée comme un pont entre la gouvernance de la confidentialité et la technologie qui la met en œuvre.

Les trois domaines

CDPSE s'articule autour de trois domaines, et leurs proportions vous indiquent où l'ISACA place l'accent. L'essentiel de l'examen porte sur les domaines de l'architecture et du cycle de vie, car c'est là que les décisions d'ingénierie sont réellement prises.

• Gouvernance de la confidentialité. Le tissu conjonctif entre exigences juridiques et exécution technique : structure du programme de confidentialité, gouvernance et gestion du risque lié à la confidentialité, ainsi que les politiques et normes sur lesquelles l'ingénierie doit s'appuyer. C'est ici qu'un titulaire CDPSE lit ce que le DPO et l'équipe juridique ont produit et le transforme en contraintes de conception.
• Architecture de la confidentialité. Infrastructure, applications et technologies sous l'angle de la confidentialité. Cela couvre la protection des données dès la conception et par défaut en tant que discipline d'ingénierie : conception des flux de données, contrôles techniques de confidentialité, chiffrement et pseudonymisation, identité et accès, ainsi que les implications des choix architecturaux sur la confidentialité.
• Cycle de vie des données. Les données personnelles de la collecte à la destruction en passant par la conservation. Limitation des finalités, minimisation des données, qualité, calendriers de conservation et élimination sécurisée, exprimés sous forme de contrôles qu'un système applique plutôt que de clauses dans un avis que personne ne lit.

La place de CDPSE parmi les certifications et normes voisines

CDPSE est plus parlante lorsqu'on la lit à la lumière de ce qu'elle n'est pas. Le tableau ci-dessous la situe à côté des certifications et normes que les praticiens confondent le plus souvent avec elle.

L'adéquation est la plus forte pour les équipes de sécurité qui ont hérité de la mise en œuvre de la confidentialité, et pour les architectes qui conçoivent sous l'empire du GDPR ou de l'AI Act, où la minimisation des données et la limitation des finalités doivent être intégrées par l'ingénierie dans les modèles et les pipelines plutôt que promises dans la documentation. Un titulaire CDPSE devient souvent la personne capable de siéger à une revue de conception et d'expliquer, concrètement, comment une fonctionnalité satisfera une exigence de confidentialité. ISO 27701 accompagne fréquemment cette certification : la norme définit le système de management de la confidentialité, et les ingénieurs formés à CDPSE sont ceux qui construisent les contrôles techniques dont ce système dépend.

CDPSE est une certification ISACA fondée sur l'expérience, ce qui signifie qu'elle s'adresse aux personnes qui travaillent déjà dans la confidentialité, la sécurité ou l'informatique plutôt qu'aux débutants. Comme les autres certifications ISACA, elle comporte des exigences de formation professionnelle continue pour la maintenir à jour, reflétant la rapidité d'évolution tant de la technologie que du paysage réglementaire.