Un formulaire qui demande une date de naissance complète alors qu’une simple vérification de majorité suffit collecte déjà trop. Ce choix de conception expose une réalité concrète : la protection des données dépend autant des réglages initiaux que des outils de cybersécurité.
Le RGPD encadre ces deux dimensions avec l’article 25 : intégrer les garanties au système, puis activer des paramètres protecteurs par défaut. Pour une équipe produit, un responsable de traitement ou un DPO, les repères essentiels commencent par ces obligations.
A retenir :
- Protection intégrée dès la conception et maintenue pendant l’exploitation
- Collecte limitée aux données nécessaires à chaque finalité précise
- Paramètres de sécurité protecteurs sans action préalable des utilisateurs
- Mesures documentées, adaptées aux risques et régulièrement réexaminées
Privacy by design dans le RGPD : anticiper les risques
L’article 25, paragraphe 1, exige que les garanties soient prises en compte dès le choix des moyens et pendant le traitement. Cette obligation concerne autant une application développée en interne qu’un logiciel acheté auprès d’un fournisseur.
Intégrer la protection des données au cahier des charges
Dans une entreprise fictive de bâtiment, le lancement d’une application de suivi des équipes commence par définir les usages nécessaires. Si le service doit seulement planifier les interventions, collecter une géolocalisation continue risque d’aller au-delà de sa finalité.
Selon le RGPD, les mesures doivent tenir compte des connaissances disponibles, des coûts, du contexte et des risques pour les personnes. La pseudonymisation et la minimisation des données figurent parmi les mesures explicitement citées, sans constituer une liste exhaustive.
Les équipes peuvent intégrer une revue de confidentialité avant le développement, plutôt que d’attendre les tests finaux. Les décisions, arbitrages et mesures retenues doivent rester documentés pour démontrer la conformité RGPD.
Mesures de conception à examiner :
- Finalités précises et données strictement nécessaires
- Pseudonymisation des identifiants dans les analyses
- Chiffrement adapté aux données et aux échanges
- Évaluation des risques et validation par le DPO
| Étape du projet | Question à poser | Exemple de mesure |
|---|---|---|
| Cadrage | Pourquoi traiter ces données ? | Définir chaque finalité |
| Conception | Quelles données sont indispensables ? | Retirer les champs superflus |
| Développement | Qui doit voir les informations ? | Prévoir un contrôle des accès |
| Exploitation | Les garanties restent-elles efficaces ? | Réexaminer les mesures |
Selon la CNIL, les choix de paramétrage doivent être examinés dès la conception des services numériques destinés au public. Une fois l’architecture prévue, l’enjeu devient celui des réglages réellement activés au lancement.
Sécurité par défaut : régler les paramètres avant l’inscription
Cette exigence de conception se concrétise avec l’article 25, paragraphe 2 : par défaut, seules les données nécessaires à chaque objectif doivent être traitées. L’utilisateur ne devrait pas avoir à parcourir plusieurs menus pour protéger sa confidentialité.
Limiter collecte, visibilité et durée de conservation
Lorsqu’un compte est créé, ses contenus ne devraient pas être rendus publics sans nécessité liée au service. De même, les cases de consentement ne doivent pas être précochées et les accès doivent rester limités aux personnes qui en ont besoin.
La protection par défaut concerne plusieurs dimensions du traitement, et pas seulement les informations demandées à l’inscription. Une conservation courte, compatible avec la finalité, réduit aussi les conséquences d’un accès non autorisé.
Selon la décision de la DPC irlandaise annoncée en septembre 2023, TikTok a reçu une amende de 345 millions d’euros concernant notamment les paramètres par défaut des comptes d’adolescents. L’affaire rappelle que les réglages initiaux peuvent avoir des effets directs sur la vie privée des mineurs.
Réglages à vérifier avant la mise en ligne :
- Profil privé lorsque la diffusion publique n’est pas nécessaire
- Consentement exprimé par un choix actif et compréhensible
- Accès internes limités selon les responsabilités des équipes
- Suppression ou anonymisation à l’échéance prévue
Éviter les réglages protecteurs seulement théoriques
Une option de confidentialité disponible dans un menu ne constitue pas une protection par défaut si elle est désactivée au départ. À l’inverse, le RGPD n’impose pas de neutraliser toute fonction utilisant des données : le réglage doit correspondre à la finalité légitime du service.
Le tableau suivant distingue les réglages à tester concrètement au moment du déploiement. Il aide à repérer les choix qui doivent être actifs avant toute intervention de l’utilisateur.
| Dimension | Réglage protecteur | Point de contrôle |
|---|---|---|
| Collecte | Champs non essentiels supprimés | Justification de chaque donnée |
| Visibilité | Audience limitée par défaut | Test du profil nouvellement créé |
| Conservation | Échéance définie selon l’objectif | Suppression automatique vérifiée |
| Accès | Autorisations attribuées par rôle | Vérification des droits actifs |
Des choix initiaux cohérents réduisent les expositions inutiles, mais ils ne suffisent pas si les droits et les durées dérivent ensuite. L’exploitation doit donc prolonger les garanties prévues en amont.
Conformité RGPD : maintenir les garanties dans le temps
Après le lancement, l’article 25 reste applicable pendant le traitement lui-même. Une architecture conçue avec soin peut perdre son efficacité si les équipes élargissent les accès, changent les usages ou négligent les mises à jour.
Organiser la sécurité et le contrôle des accès
Dans l’exemple d’une entreprise de chantier, les responsables de planning peuvent avoir besoin des coordonnées des équipes, mais pas de données médicales. Le contrôle des accès par rôle limite la consultation aux informations utiles à chaque fonction.
La journalisation permet de suivre les accès sensibles et de repérer des comportements inhabituels. Le chiffrement, la séparation des identifiants et la suppression automatique complètent cette organisation, selon les risques du traitement.
Un réexamen périodique est également nécessaire : les techniques disponibles et les menaces évoluent. Une analyse d’impact peut s’imposer lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés.
Mesures de suivi opérationnel :
- Révision des habilitations lors des changements de poste
- Journalisation des consultations de données sensibles
- Contrôle des échéances de conservation et de suppression
- Formation des équipes aux pratiques de confidentialité
Conserver des preuves de conformité vérifiables
La responsabilité ne se limite pas à affirmer que les données sont protégées. Des cahiers des charges, revues de confidentialité, analyses d’impact et configurations documentées permettent d’expliquer les décisions prises et leur suivi.
Selon l’article 83, paragraphe 4, du RGPD, le non-respect de certaines obligations, dont l’article 25, peut entraîner des amendes administratives allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Le niveau de sanction dépend du cadre juridique et des circonstances propres au dossier.
Sources : Règlement (UE) 2016/679, articles 25 et 83, Journal officiel de l’Union européenne, 2016 ; CNIL, « Préparer son développement », fiche pratique ; DPC irlandaise, décision relative à TikTok, 15 septembre 2023.
