Rendre un profil anonyme dès sa création peut réduire l’exposition des données personnelles, mais ce choix ne résume pas à lui seul le privacy by design. L’article 25 du RGPD demande d’intégrer des mesures de protection dès la conception et de configurer, par défaut, les traitements selon leurs finalités.
La distinction compte pour toute équipe qui crée des profils utilisateurs : anonymiser, pseudonymiser ou limiter la visibilité ne produit pas les mêmes effets. Pour choisir le bon réglage, il faut d’abord examiner ce que le service collecte, conserve et rend accessible.
A retenir : anonymisation par défaut et privacy by design
- Protection intégrée dès la conception des services et des traitements
- Réglages initiaux limités aux données nécessaires à chaque finalité
- Profils privés et accès restreints lorsque le service le permet
- Décisions documentées, vérifiées et adaptées aux risques réels
Privacy by design : intégrer la protection dès la conception
Des choix techniques pensés avant le lancement
Le privacy by design consiste à intégrer des mesures techniques et organisationnelles au moment où le projet prend forme, puis pendant son fonctionnement. Selon l’article 25, le responsable du traitement tient compte de l’état des connaissances, des coûts, du contexte et des risques pour les personnes.
Concrètement, une équipe peut réduire les champs d’un formulaire, séparer les données selon les finalités ou limiter les accès par fonction. La minimisation des données n’est pas un simple nettoyage : elle évite de collecter des informations qu’aucun usage défini ne justifie.
Anonymiser seulement lorsque l’identification est inutile
L’anonymisation par défaut peut être pertinente lorsque le service n’a pas besoin de reconnaître une personne, par exemple pour produire des statistiques générales. Elle ne constitue toutefois pas une exigence universelle de l’article 25, qui impose des mesures appropriées au traitement concerné.
La pseudonymisation remplace certains identifiants par d’autres éléments, mais une réidentification peut rester possible avec des informations complémentaires. Des identifiants anonymes ne sont réellement anonymes que si les personnes ne peuvent plus être identifiées par des moyens raisonnablement susceptibles d’être utilisés.
Mesures de conception utiles :
- Collecte limitée aux champs justifiés par une finalité précise
- Accès attribués selon les responsabilités de chaque profil
- Chiffrement ou pseudonymisation selon les risques du traitement
- Données anonymisées pour les usages qui ne nécessitent aucune identification
Besoin du service
Mesure possible
Point à vérifier
Créer un compte
Réduire les champs obligatoires
Nécessité de chaque information demandée
Gérer les accès
Définir des rôles distincts
Accès réellement accordés à chaque rôle
Produire des statistiques
Utiliser des données anonymisées si possible
Risque de réidentification
Tester une fonctionnalité
Employer des données fictives
Absence de données réelles dans les essais
Profils utilisateurs : choisir des réglages protecteurs par défaut
Rendre la confidentialité effective dès la première utilisation
Le privacy by default concerne la configuration initiale du service : l’utilisateur ne devrait pas devoir corriger un paramétrage excessivement ouvert pour protéger sa vie privée. Selon le CEPD, l’analyse porte notamment sur la quantité de données, l’étendue du traitement, la durée de conservation et l’accessibilité.
Un réseau social peut ainsi rendre un profil privé à l’ouverture du compte, tandis qu’une application de mobilité peut activer la géolocalisation uniquement pendant un trajet. Les cases de consentement ne doivent pas être précochées, et le partage public ne devrait pas être activé sans choix explicite.
Vérifier les comportements réels du service
Les intitulés des boutons ne suffisent pas : fermer une fenêtre, se déconnecter ou supprimer un compte peuvent déclencher des opérations différentes. Dans sa délibération SAN-2022-020, la CNIL a examiné une application où fermer la fenêtre principale ne mettait pas fin à la connexion au salon vocal.
Ce cas rappelle l’importance de tester les parcours réels, notamment les fonctions de partage et de désactivation. Pour préserver la confidentialité, les réglages doivent limiter l’accès aux personnes concernées plutôt que rendre les données accessibles à un public indéterminé.
Réglages par défaut à examiner :
- Visibilité des profils et des informations personnelles
- Activation de la géolocalisation et des fonctions de partage
- Durée de conservation prévue pour chaque finalité
- Nombre de personnes pouvant consulter les données
Paramètre
Option protectrice initiale
Contrôle pratique
Profil utilisateur
Visibilité limitée
Tester le compte depuis un profil non autorisé
Géolocalisation
Désactivée hors usage nécessaire
Vérifier son arrêt à la fin du trajet
Partage de fichiers
Accès réservé à un groupe défini
Contrôler les liens publics et les permissions
Conservation
Durée adaptée à la finalité
Vérifier que la suppression est effectivement exécutée
Protection des données : documenter et maintenir les choix
Associer le DPO et les équipes dès le cadrage
La conformité ajoutée à la veille du lancement impose souvent de reprendre le code, les formulaires ou les contrats fournisseurs. Associer le délégué à la protection des données en amont permet d’examiner les options lorsque les choix restent modifiables.
Selon le CEPD, le coût de mise en œuvre aide à comparer des solutions efficaces, mais ne justifie pas un traitement contraire aux principes du RGPD. Une analyse d’impact est requise lorsque les conditions prévues par l’article 35 sont réunies ; son absence ne dispense pas d’appliquer l’article 25.
Conserver des preuves et revoir les paramètres
Une fiche de décision peut relier la finalité, les données retenues, les accès, la conservation et les risques identifiés. Elle aide aussi à vérifier les outils tiers : un logiciel présenté comme sécurisé doit être contrôlé dans la configuration réellement utilisée par l’organisation.
Étapes de contrôle à intégrer :
- Décrire la finalité et les personnes concernées
- Justifier les données collectées et les accès accordés
- Tester les paramètres avant la mise en service
- Réexaminer les choix après une évolution du service
Cette démarche transforme la protection de la vie privée en exigence de conception plutôt qu’en correction tardive. La règle utile reste simple : ne rendre disponibles que les données et les fonctions nécessaires au service attendu.
Source : Règlement (UE) 2016/679, article 25 ; Comité européen de la protection des données, « Lignes directrices 4/2019 sur l’article 25 », version 2.0 ; CNIL, délibération SAN-2022-020, 10 novembre 2022.
