Privacy by design : appliquer l'article 25 à un projet

Nouveau logiciel, formulaire refondu, outil interne : chaque projet qui touche des données personnelles engage l'entreprise dès ses premières décisions. Le privacy by design désigne l'obligation d'intégrer la protection des données au moment où ces décisions se prennent, et non après la mise en service. Voici le texte, son interprétation européenne, puis une méthode et une liste de contrôle pour un projet réel.

Que dit l'article 25 du RGPD ?

L'article 25 impose au responsable du traitement deux obligations distinctes : protéger les données dès la conception (paragraphe 1) et par défaut (paragraphe 2). Selon le paragraphe 3, une certification approuvée peut aider à le démontrer.

Le paragraphe 1 demande des mesures techniques et organisationnelles appropriées, comme la pseudonymisation, destinées à appliquer de façon effective les principes de protection des données. Elles tiennent compte de l'état des connaissances, du coût, du contexte et des finalités du traitement, et des risques pour les personnes. Surtout, l'obligation vaut à deux moments : lors de la détermination des moyens du traitement et pendant le traitement lui-même (article 25 du RGPD, texte reproduit par la CNIL).

Dès la conception ou par défaut : quelle différence ?

Le privacy by design porte sur la manière dont le traitement est conçu : architecture, choix des outils, règles de gestion. Le privacy by default porte sur les réglages livrés : sans action de l'utilisateur, seules les données nécessaires à chaque finalité doivent être traitées.

Ce que précisent les lignes directrices 4/2019 du CEPD

Le Comité européen de la protection des données a adopté la version 2.0 de ses lignes directrices sur l'article 25 le 20 octobre 2020, après consultation publique (lignes directrices 4/2019, version française). Quatre enseignements servent directement un chef de projet.

• L'efficacité prime : une mesure doit produire l'effet attendu, et le responsable doit pouvoir le démontrer, par exemple avec des indicateurs ou un raisonnement documenté.
• La phase de conception inclut l'achat : le moment d'acquisition et de mise en œuvre des logiciels, du matériel et des services entre dans la détermination des moyens.
• L'obligation continue : les mesures se réexaminent quand la technologie, les risques ou le contexte évoluent, y compris pour les systèmes anciens.
• Le responsable reste comptable des choix de son sous-traitant, par le contrat et des vérifications régulières.

Le texte propose aussi des éléments clés par principe. Pour la minimisation, il cite notamment l'évitement du recours aux données, la limitation de l'accès, l'agrégation, la pseudonymisation, l'anonymisation et la suppression. Ces éléments ne sont ni exhaustifs ni contraignants. Voir aussi notre article sur le principe de minimisation.

Comment l'appliquer à un projet concret ?

Appliquer le privacy by design revient à poser les questions de protection des données à chaque jalon du projet, et à garder la trace des réponses. La méthode vaut pour un formulaire, un outil interne ou un logiciel acheté.

1. 1Décrire — Formuler la finalité du projet, les personnes concernées, les catégories de données et la base légale envisagée.
2. 2Trier — Pour chaque donnée prévue, justifier sa nécessité au regard de la finalité et supprimer celles qui ne servent pas.
3. 3Évaluer — Identifier les risques pour les personnes et vérifier si une analyse d'impact est requise avant tout développement.
4. 4Spécifier — Inscrire au cahier des charges réglages par défaut, durées de conservation, habilitations et journalisation.
5. 5Vérifier — Tester avant la mise en service que les réglages livrés respectent les exigences.
6. 6Documenter — Mettre à jour le registre et conserver les décisions prises avec leurs raisons.

Pour une équipe technique, le guide RGPD du développeur de la CNIL décline ces points en fiches pratiques.

Liste de contrôle par phase de projet

Quel lien avec l'AIPD ?

L'analyse d'impact relative à la protection des données est l'un des outils du privacy by design lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes. L'article 35 du RGPD impose de la mener avant le traitement, ce qui la place naturellement dans la phase de conception. Notre guide sur l'AIPD détaille quand et comment la réaliser.

Quelles sanctions pour un manquement à l'article 25 ?

Un manquement à l'article 25 relève de l'article 83, paragraphe 4 : jusqu'à 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83 du RGPD). L'autorité irlandaise a déjà sanctionné ce manquement à plusieurs reprises.

• TikTok : décision du 1er septembre 2023, amendes de 345 millions d'euros au total, avec des manquements aux paragraphes 1 et 2 de l'article 25, l'enquête portant notamment sur des réglages publics par défaut (décision de la DPC).
• Meta : décision annoncée le 17 décembre 2024, 251 millions d'euros au total, dont 130 millions au titre de l'article 25.1 et 110 millions au titre de l'article 25.2 (communiqué de la DPC).

Ces décisions visent de grandes plateformes, mais le raisonnement vaut pour toute organisation. Pour une PME, le privacy by design se joue surtout sur des choix simples et documentés.

À retenir

• L'article 25 combine deux obligations : protéger dès la conception et par défaut.
• Les lignes directrices 4/2019 du CEPD (version 2.0) exigent des mesures effectives et démontrables.
• Une liste de contrôle par phase documente les choix faits.
• Si le risque est élevé, l'AIPD s'intègre à la conception, avant le traitement.