La vie privée, notion sibylline et contingente, n’a pas de définition légale en droit Camerounais comme dans d’autres législations occidentales à l’exemple de la France. Cette légèreté du législateur pose de sérieux problèmes qui font de la vie privée, un objet juridique indéterminé justifiant la nécessité de la détermination de sa valeur juridique. La vie privée est un objet juridique indéterminé dans la mesure où tout effort de définition est délicat et plusieurs notions semblent y faire partie au point où l’on s’interroge à la fois sur son contenu et ses titulaires, personnes physiques et morales. Seulement, l’évolution des Technologies de l’Information et de la Communication en général et des réseaux sociaux en particulier dévoilent tout ce qui touche à l’intimité des usagers, parfois avec le consentement de ces derniers qui ne maitrisent ni les tenants, ni les aboutissants des mass-médias. En outre, la recherche de la manifestation de la vérité,le droit à l’information et à la communication du public, peuvent justifier les atteintes de la vie privée.Il est aussi difficile aujourd’hui de mener une vie discrète aussi bien pour ceux qui ont une certaine notoriété que pour les personnes anonymes.La vie privée est objet juridique à déterminer. L’écart entre vie privée et vie publique semble de plus en plus étroit, imposant ainsi une détermination de son domaine et d’un régime. Il est indispensable de cerner les contours de la vie privée en s’appuyant sur des éléments connus tels que la famille, la santé, et le travail. Compte tenu de son caractère fondamental, la protection de la vie privée doit se faire aussi bien sur le plan interne qu’international, par l’effectivité des normes existantes et l’élaboration des textes spécifiques. De même, le rôle des acteurs de la justice est indéniable. / Privacy, cryptic and contingent concept, has no legal definition in Cameroonian law like in the Western legislations such as France. This lightness of the legislator causes serious problems making privacy, an indeterminate legal object supporting the need for the determination of its legal value. Privacy is a legal object indeterminate because any definition effort is delicate and several notions seem to be part of its content and those who really hold. Privacy looks like a prerogative ofpersons. Only, the evolution of Information and Communication technology in general and social networking in particular, reveal everything related to the privacy of users sometimes with the consent of the latter who have not mastered the ins and outs of the mass media. In addition, looking for the manifestation of the truth, the right to information and communication to the public may justify violations of privacy. It is also difficult today to lead a discreet life as well for public figures, as for anonymous people. Privacy must be legally determinated. A gap between private life and public life seems more and more narrow, thus imposing a determination of the field of privacy as well as its regime. It is essential to identify the contours of privacy is based on elements such as family, health, and labour.Given its fundamental nature, the protection of privacy must be both on the internal and international plan, by the effectiveness of existing rules and development of specific texts. Similarly, the role of actors in justice is undeniable as in any other cases.

L'augmentation rapide du nombre de transactions en ligne dans le monde moderne numérique exige la manipulation des informations personnelles des utilisateurs, y compris sa collection, stockage, diffusion et utilisation. De telles activités représentent un risque sérieux concernant le respect de la vie privée des informations personnelles. Le travail actuel analyse l'utilisation des architectures d'identité fédérées (AIF) comme une solution appropriée pour simplifier et assurer la gestion des identités numériques dans un environnement de collaboration. Cependant, la contribution principale du projet est la proposition d'un modèle de respect de la vie privée qui complète les mécanismes inhérents de respect de la vie privée de la AIF afin d'être conformes aux principes de respect de la vie privée établis par un cadre législatif. Le modèle de respect de la vie privée définit une architecture modulaire qui fournit les fonctionnalités suivantes : spécifications des conditions de respect de la vie privée, représentation des informations personnelles dans un format de données standard, création et application des politiques en matière de protection de la vie privée et accès aux informations personnelles et registre d'évènement. La praticabilité pour déployer le modèle de respect de la vie privée dans un environnement réel est analysée par un scénario de cas pour le projet mexicain d'e-gouvernement.

Vu que les tags RFID sont actuellement en phase de large déploiement dans le cadre de plusieurs applications (comme les paiements automatiques, le contrôle d'accès à distance, et la gestion des chaînes d’approvisionnement), il est important de concevoir des protocoles de sécurité garantissant la protection de la vie privée des détenteurs de tags RFID. Or, la conception de ces protocoles est régie par les limitations en termes de puissance et de calcul de la technologie RFID, et par les modèles de sécurité qui sont à notre avis trop forts pour des systèmes aussi contraints que les tags RFID. De ce fait, on limite dans cette thèse le modèle de sécurité; en particulier, un adversaire ne peut pas observer toutes les interactions entre tags et lecteurs. Cette restriction est réaliste notamment dans le contexte de la gestion des chaînes d’approvisionnement qui est l’application cible de ce travail. Sous cette hypothèse, on présente quatre protocoles cryptographiques assurant une meilleure collaboration entre les différents partenaires de la chaîne d’approvisionnement. D’abord, on propose un protocole de transfert de propriété des tags RFID, qui garantit l’authentification des tags en temps constant alors que les tags implémentent uniquement des algorithmes symétriques, et qui permet de vérifier l'authenticité de l’origine des tags. Ensuite, on aborde le problème d'authenticité des produits en introduisant deux protocoles de sécurité qui permettent à un ensemble de vérificateurs de vérifier que des tags “sans capacité de calcul” ont emprunté des chemins valides dans la chaîne d’approvisionnement. Le dernier résultat présenté dans cette thèse est un protocole d’appariement d’objets utilisant des tags “sans capacité de calcul”, qui vise l’automatisation des inspections de sécurité dans la chaîne d’approvisionnement lors du transport des produits dangereux. Les protocoles introduits dans cette thèse utilisent les courbes elliptiques et les couplages bilinéaires qui permettent la construction des algorithmes de signature et de chiffrement efficaces, et qui minimisent donc le stockage et le calcul dans les systèmes RFID. De plus, la sécurité de ces protocoles est démontrée sous des modèles formels bien définis qui prennent en compte les limitations et les contraintes des tags RFID, et les exigences strictes en termes de sécurité et de la protection de la vie privée des chaines d’approvisionnement. / While RFID systems are one of the key enablers helping the prototype of pervasive computer applications, the deployment of RFID technologies also comes with new privacy and security concerns ranging from people tracking and industrial espionage to produ ct cloning and denial of service. Cryptographic solutions to tackle these issues were in general challenged by the limited resources of RFID tags, and by the formalizations of RFID privacy that are believed to be too strong for such constrained devices. It follows that most of the existing RFID-based cryptographic schemes failed at ensuring tag privacy without sacrificing RFID scalability or RFID cost effectiveness. In this thesis, we therefore relax the existing definitions of tag privacy to bridge the gap between RFID privacy in theory and RFID privacy in practice, by assuming that an adversary cannot continuously monitor tags. Under this assumption, we are able to design sec ure and privacy preserving multi-party protocols for RFID-enabled supply chains. Namely, we propose a protocol for tag ownership transfer that features constant-time authentication while tags are only required to compute hash functions. Then, we tackle the problem of product genuineness verification by introducing two protocols for product tracking in the supply chain that rely on storage only tags. Finally, we present a solution for item matching that uses storage only tags and aims at the automation of safety inspections in the supply chain.The protocols presented in this manuscript rely on operations performed in subgroups of elliptic curves that allow for the construction of short encryptions and signatures, resulting in minimal storage requirements for RFID tags. Moreover, the privacy and the security of these protocols are proven under well defined formal models that take into account the computational limitations of RFID technology and the stringent privacy and security requirements of each targeted supply chain application.

L'émergence des téléphones mobiles et objets connectés a profondément changé notre vie quotidienne. Ces dispositifs, grâce à la multitude de capteurs qu'ils embarquent, permettent l'accès à un large spectre de services. En particulier, les capteurs de position ont contribué au développement des services de localisation tels que la navigation, le covoiturage, le suivi de la congestion en temps réel... En dépit du confort offert par ces services, la collecte et le traitement des données de localisation portent de sérieuses atteintes à la vie privée des utilisateurs. En effet, ces données peuvent renseigner les fournisseurs de services sur les points d'intérêt (domicile, lieu de travail, orientation sexuelle), les habitudes ainsi que le réseau social des utilisateurs. D'une façon générale, la protection de la vie privée des utilisateurs peut être assurée par des dispositions légales ou techniques. Même si les mesures d'ordre légal peuvent dissuader les fournisseurs de services et les individus malveillants à enfreindre le droit à la vie privée des utilisateurs, les effets de telles mesures ne sont observables que lorsque l'infraction est déjà commise et détectée. En revanche, l'utilisation des technologies renforçant la protection de la vie privée (PET) dès la phase de conception des systèmes permet de réduire le taux de réussite des attaques contre la vie privée des utilisateurs. L'objectif principal de cette thèse est de montrer la viabilité de l'utilisation des PET comme moyens de protection des données de localisation dans les services de covoiturage. Ce type de service de localisation, en aidant les conducteurs à partager les sièges vides dans les véhicules, contribue à réduire les problèmes de congestion, d'émissions et de dépendance aux combustibles fossiles. Dans cette thèse, nous étudions les problèmes de synchronisation d'itinéraires et d'appariement relatifs au covoiturage avec une prise en compte explicite des contraintes de protection des données de localisation (origine, destination). Les solutions proposées dans cette thèse combinent des algorithmes de calcul d'itinéraires multimodaux avec plusieurs techniques de protection de la vie privée telles que le chiffrement homomorphe, l'intersection sécurisée d'ensembles, le secret partagé, la comparaison sécurisée d'entier. Elles garantissent des propriétés de protection de vie privée comprenant l'anonymat, la non-chainabilité et la minimisation des données. De plus, elles sont comparées à des solutions classiques, ne protégeant pas la vie privée. Nos expérimentations indiquent que les contraintes de protection des données privées peuvent être prise en compte dans les services de covoiturage sans dégrader leurs performances. / The emergence of mobile phones and connected objects has profoundly changed our daily lives. These devices, thanks to the multitude of sensors they embark, allow access to a broad spectrum of services. In particular, position sensors have contributed to the development of location-based services such as navigation, ridesharing, real-time congestion tracking... Despite the comfort offered by these services, the collection and processing of location data seriously infringe the privacy of users. In fact, these data can inform service providers about points of interests (home, workplace, sexual orientation), habits and social network of the users. In general, the protection of users' privacy can be ensured by legal or technical provisions. While legal measures may discourage service providers and malicious individuals from infringing users' privacy rights, the effects of such measures are only observable when the offense is already committed and detected. On the other hand, the use of privacy-enhancing technologies (PET) from the design phase of systems can reduce the success rate of attacks on the privacy of users. The main objective of this thesis is to demonstrate the viability of the usage of PET as a means of location data protection in ridesharing services. This type of location-based service, by allowing drivers to share empty seats in vehicles, helps in reducing congestion, CO2 emissions and dependence on fossil fuels. In this thesis, we study the problems of synchronization of itineraries and matching in the ridesharing context, with an explicit consideration of location data (origin, destination) protection constraints. The solutions proposed in this thesis combine multimodal routing algorithms with several privacy-enhancing technologies such as homomorphic encryption, private set intersection, secret sharing, secure comparison of integers. They guarantee privacy properties including anonymity, unlinkability, and data minimization. In addition, they are compared to conventional solutions, which do not protect privacy. Our experiments indicate that location data protection constraints can be taken into account in ridesharing services without degrading their performance.

On parle d'identification lorsqu'une personne ou un objet communicant présente un élément qui permet sa reconnaissance automatique. Ce mode s'oppose traditionnellement à l'authentification, dans laquelle on prouve une identité annoncée. Nous nous intéressons ici à l'identification biométrique d'une part, et à l'identification d'objets communicants sans-fil d'autre part. Les questions de la sécurité et du respect de la vie privée sont posées. Il y a sécurité si on peut s'assurer de la certitude que l'identification produit le bon résultat, et la vie privée est respectée si une personne extérieure au système ne peut pas déduire d'information à partir d'éléments publics. Nous montrons que dans le cas biométrique, le maillon le plus sensible du système se situe au niveau du stockage des données, alors que dans le cas de communications sans-fil, c'est le contenu des messages qui doit être protégé. Nous proposons plusieurs protocoles d'identification biométrique qui respectent la vie privée des utilisateurs; ces protocoles utilisent un certain nombre de primitives cryptographiques. Nous montrons par ailleurs comment l'utilisation de codes d'identification permet de mettre en oeuvre des protocoles d'interrogation d'objets communicants.

La collecte et l’agrégation des renseignements personnels par des organisations du secteur privé représentent une menace grandissante pour la vie privée des citoyens canadiens. Bien que les pratiques de profilage à des fins commerciales soient en pleine émergence depuis l’arrivée d’Internet, le Canada dispose tout de même de mesures législatives servant à limiter leur impact sur la vie privée des individus. Cependant, certaines organisations parviennent néanmoins à contourner ces mesures législatives par l’entremise d’ententes contractuelles auxquelles adhèrent les utilisateurs d’Internet. Il est donc indispensable que les lois en matière de protection des renseignements personnels soient modernisées afin de minimiser les impacts du profilage en ligne. À cet effet, certaines leçons peuvent être tirées de l’approche européenne en matière de protection des renseignements personnels collectés à partir d’Internet et d’autres technologies d’information et de communication.

La collecte et l’agrégation des renseignements personnels par des organisations du secteur privé représentent une menace grandissante pour la vie privée des citoyens canadiens. Bien que les pratiques de profilage à des fins commerciales soient en pleine émergence depuis l’arrivée d’Internet, le Canada dispose tout de même de mesures législatives servant à limiter leur impact sur la vie privée des individus. Cependant, certaines organisations parviennent néanmoins à contourner ces mesures législatives par l’entremise d’ententes contractuelles auxquelles adhèrent les utilisateurs d’Internet. Il est donc indispensable que les lois en matière de protection des renseignements personnels soient modernisées afin de minimiser les impacts du profilage en ligne. À cet effet, certaines leçons peuvent être tirées de l’approche européenne en matière de protection des renseignements personnels collectés à partir d’Internet et d’autres technologies d’information et de communication.

La collecte et l’agrégation des renseignements personnels par des organisations du secteur privé représentent une menace grandissante pour la vie privée des citoyens canadiens. Bien que les pratiques de profilage à des fins commerciales soient en pleine émergence depuis l’arrivée d’Internet, le Canada dispose tout de même de mesures législatives servant à limiter leur impact sur la vie privée des individus. Cependant, certaines organisations parviennent néanmoins à contourner ces mesures législatives par l’entremise d’ententes contractuelles auxquelles adhèrent les utilisateurs d’Internet. Il est donc indispensable que les lois en matière de protection des renseignements personnels soient modernisées afin de minimiser les impacts du profilage en ligne. À cet effet, certaines leçons peuvent être tirées de l’approche européenne en matière de protection des renseignements personnels collectés à partir d’Internet et d’autres technologies d’information et de communication.

Qu’est-ce que la vie privée? Bien qu’il puisse sembler s’agir d’une question simple, les façons de concevoir et de définir la vie privée sont diffuses et nombreuses dans les sciences sociales et plus largement dans la société. Ce concept, celui de la vie privée, est d’autant plus important et complexe dans l’ère du numérique car il est maintenant relié aux phénomènes de la production massive d’information (c.-à-d., mégadonnées) et de la multiplication des technologies informatiques. Ces phénomènes marquent la transition de nos sociétés vers un nouveau paradigme de la technologie et de l’information dans lequel ces éléments subissent des changements qualitatifs et quantitatifs sans précédent. Pour les sciences sociales et pour la criminologie, étudier des phénomènes sociaux comme la vie privée dans l’ère du numérique est un terrain relativement peu exploré qui présente certains défis permettant une réflexion théorique, épistémologique, ontologique et méthodologique. Le plus grand de ces défis est la place qu’on accorde aux non-humains et au contexte matériel à chacune des étapes de la démarche scientifique. L’impact et la présence des technologies dans toutes les sphères du quotidien fait en sorte qu’il est impossible de séparer le monde social du monde matériel. Cette perspective ne fait toutefois pas l’unanimité dans une communauté scientifique où la séparation entre nature et culture est encore canonique à bien des égards. Cela donne lieu à une autre tendance qu’ont les études de la vie privée, soit de tomber dans une instrumentalisation du monde matériel ou dans un discours qui positionne les objets comme étant une force déterminante du social. Par la suite, la vie privée n’est pas seulement polysémique, elle rassemble une grande variété d’enjeux qui traversent les frontières de l’ensemble des sciences sociales. Comme il existe plusieurs enjeux qui peuvent être considérés importants, cela fait en sorte qu’il est difficile de produire une définition universelle qui soit utile pour tous. Un troisième défi se rattache à la méthodologie qui est généralement utilisée pour étudier la vie privée. Indépendamment de la discipline, les études de la vie privée vont généralement se concentrer sur un nombre restreint d’enjeux (p. ex. la sécurité, la surveillance, l’information). Ceci fait en sorte que plusieurs portraits partiels de la vie privée sont produits et communiquent difficilement les uns avec les autres. Par exemple, la criminologie adopte généralement un discours dénonciateur des atteintes qui sont faites à la vie privée et accorde peu d’importance à des questions comme le transfert d’information ou la gestion de services pour la population d’une ville. Ces deux questions sont pourtant centrales à l’étude de la vie privée en communications et en sciences politiques. Cette tendance à fragmenter l’étude de phénomènes sociaux selon des sujets de plus en plus restreints a pour effet de produire des analyses qui évacuent une partie de la complexité associée à la multitude d’éléments sociotechniques, qui doivent être mobilisés dans l’articulation d’une vie privée. Afin de tenter de répondre à ces problèmes, la démarche que nous mobilisons cherche à articuler ensemble la criminologie, la technologie et la vie privée dans une approche pluridisciplinaire et plus particulièrement en fonction d’une ontologie relationnelle. En effectuant cette articulation, nous cherchons un positionnement dans un courant des sciences sociales qui vise à élargir le nombre d’objets de recherche au sein des disciplines, tout en renouant avec la complexité et la multidisciplinarité au sein de leurs démarches. Pour ce faire, deux principes structurent l’ensemble de notre approche. Tout d’abord, il est question d’adopter ce que certains ont nommé le tournant matériel en sciences sociales. C’est-à-dire, prendre en compte la matérialité, la place des objets et les dispositifs technologiques dans la production du social. Ensuite, le second principe structurant de notre approche est celui du pragmatisme. Une approche pragmatique nous permet de délaisser l’épistémologie surplombante d’un chercheur qui tente de définir la vie privée selon des critères préétablis. Cela se fait au profit d’une posture restitutive qui rend aux acteurs le pouvoir d’expliquer leur réalité. En combinant ces principes, nous nous positionnons dans une ontologie que nous qualifions comme étant relationnelle et symétrique. Pour réunir ces deux principes dans une démarche théorique et méthodologique cohérente, je mobilise des concepts de la théorie de l’acteur-réseau (en anglais, « Actor-Network Theory »; ANT) et de la sociologie de la traduction. L’ANT met en place un cadre théorique qui permet d’observer les humains et les non-humains de la même manière. La sociologie de la traduction prend la base conceptuelle de l’ANT et offre une méthode avec laquelle les acteurs humains et non-humains peuvent être observés lors du processus où ils s’assemblent, articulent et problématisent une réalité commune. Afin d’accomplir ces objectifs et de démontrer les mérites théoriques, méthodologiques et pratiques de ma démarche, nous proposons une analyse en trois volets qui prend la forme de ce que nous nommons : visites guidées du numérique. Ces trois visites illustrent comment le processus de traduction se déroule lorsque nos observations sont effectuées du point de vue d’un guide dont le rapport au contexte matériel est différent (c.-à-d., un guide humain, un guide hybride et un guide non-humain). Dans la première visite guidée, nous observons l’acteur-réseau traduit par une firme d’experts-consultants (c.-à-d., des humains) dont la préoccupation est l’utilisation, la gestion et le transfert de l’information contenue dans les mégadonnées. Dans la deuxième visite guidée, nous suivons des sites web, et plus particulièrement les avis en matière de protection de la vie privée qui s’y trouvent. Cette deuxième visite nous transporte directement dans l’espace numérique, où les humains et les non-humains sont présents de façon proportionnelle. Finalement, notre troisième visite nous invite à suivre les associations qui se font à chacune des étapes du transfert d’un courriel, de l’envoi à la réception, et ce dans un espace où le rôle actif des humains est secondaire à celui des non-humains. Cette troisième visite a pour but d’illustrer comment un enjeu comme la vie privée, qui peut sembler être le résultat d’une construction humaine, est en fait aussi dépendant de l’assemblage et de la forme d’un contexte matériel. Ces visites permettent d’observer et de conclure qu’il n’existe pas une seule vie privée, mais bien plusieurs. Ces vies privées sont le produit d’assemblages résultant du travail collectif et continuel d’actants à la fois humains et non-humains. En adoptant simultanément le tournant matériel et une posture pragmatique, nous proposons que la criminologie se positionne de sorte à observer des éléments du social sur lesquels son regard ne se porte pas de façon générale, tout en renouant avec la complexité. Finalement, ce regard qui est possible grâce à l’ANT permet de mieux rendre compte des interactions qui se produisent dans une société où nous sommes entrés dans une nouvelle ère technologique.

La vie privée et sa protection sont aujourd'hui largement discutées. Membres de la société civile, juristes ou encore techniciens, nous sommes tous appelés à nous emparer d'une notion que l'on nous présente à la fois comme menacée, désuète ou appartenant à nos libertés fondamentales. Aujourd'hui, les controverses autour de la protection de la vie privée ont pour origine des usages techniques. L'informatisation des fichiers étatiques et les possibilités accrues de surveillance issues des innovations en informatique et, plus récemment, les « usages sociaux » des outils numériques comme les « réseaux sociaux », provoquent de vives réactions. Pourtant, le recours à cette notion, notamment pour protéger les libertés individuelles, est-il complètement satisfaisant alors que, d'une part, les outils à l'origine de sa mise en question suscitent un large engouement, et que, d'autre part, ses contours sont mal définis? Nous adoptons, pour répondre à cette question, une position interdisciplinaire. D'une part, nous enquêtons d'un point de vue philosophique sur la « condition numérique » contemporaine afin d'en saisir les enjeux. Ce faisant, nous établissons que les outils numériques remettent en cause la notion de « frontiére ». Nous montrons simultanément que la possibilité d'une existence séparée est nécessaire pour constituer une subjectivité propre. Se pose alors la question de la mise en pratique d'une telle existence. Nous nous éloignons des approches déontologiques et utilitaristes qui guident actuellement la conception et l'évaluation des outils numériques pour leur préférer une approche fondée sur « l'éthique du souci de soi ». Cette approche nous conduit à établir que le code informatique constitue la structure de la condition numérique et qu'il s'agit de prendre en compte, dés la conception d'une application un ensemble de propriétés, comme la protection de la vie privée. Nous cherchons dans un second temps à aider les concepteurs d'applications à concevoir au mieux et à réaliser des applications qui permettent de protéger la vie privée des utilisateurs et des possesseurs des données. Notre domaine d'application est l'approche orientée services qui est aujourd'hui un largement utilisée. Nous nous concentrons sur son utilisation pour la réalisation d'applications à partir de compositions de services dynamiques et hétérogènes. Nous cherchons à protéger la vie privée à l'aide du contrôle d'accès. Pour ce faire, nous proposons de configurer les propriétés de contrôle d'accès des services au moyen d'une démarche dirigée par les modèles divisée en deux étapes. Au niveau conception, la composition et la politique de contrôle d'accès à un niveau abstrait sont spécifiées par des experts dédiés. Nous estimons que le contrôle d'accès doit être pris en compte dés la conception de l'application afin d'éviter le recours à la programmation manuelle. En rester à un niveau abstrait permet de s'adapter à l'état de la composition et à l'hétérogénéité et au dynamisme des services. Au niveau exécution, notre architecture permet de configurer les services concrets au moyen de proxies responsables de l'exécution du contrôle d'accès. Des transformations de modèles vers textes automatisées permettent de passer d'un niveau à l'autre afin de s'abstraire de la programmation manuelle et de garantir la protection des services concrets par les proxies. Notre approche a été validée par la réalisation d'un prototype et son utilisation sur un cas d'application. / Privacy is hot topic. Lawyers, technicians and plain people are all concerned by this notion. Nowadays, most discussions focus on the effects of digital tools, such as social media or surveillance software. However, privacy is still ill-defined. Moreover, digital tools which endanger privacy are widely used. Should not we leave privacy aside and accept that we are, maybe more than ever, visible ?In this doctoral thesis, I address this question from a twofold viewpoint. I first inquire into the nature of our digital condition from a philosophical standpoint. I claim that digital artifacts rework the implementation of our frontiers, be them geographical or social. However, I contend that such frontiers are necessary. As I show that code defines the structure and the effects of digital tools, I point out that properties such as privacy management should be addressed right from the conception of software applications.Helping out designers to address such properties is the second issue I tackle. I focus on Service-Oriented Computing as it is a widely used paradigm. Most speci- fically, I deal with the composition of heterogenous and dynamic services. I define access control as an efficient mechanism to protect privacy and I propose a twofold generative approach to secure services compositions. The composition and its access control policies are separately defined at an abstract level. An expert is responsible for each of them. As we promote an abstract description of the application, we free the designer from technical complexity. At runtime, we propose an architecture which selects and protects the actual services by hiding them behind proxies which run the access control policy. Automated model transformations permit to generate the application from its specification. We thus bypass manual programming. We have implemented a modeling and execution environment and applied our approach to a use case in order to validate our work.