Article 25 RGPD : privacy by design et by default

L’article 25 du RGPD oblige le responsable du traitement à intégrer la protection des données dans ses choix de conception et dans le fonctionnement par défaut. Pour le vérifier, il faut examiner ce que le service collecte, permet, conserve et rend accessible avant toute modification des réglages par l’utilisateur.

Ce commentaire suit les trois paragraphes du texte. Le guide privacy by design et privacy by default complète cette lecture par une approche de mise en œuvre dans les projets.

Article 25(1) : des mesures appropriées et effectives

L’Art. 25(1) vise le responsable du traitement. Il lui impose des mesures techniques et organisationnelles destinées à mettre effectivement en œuvre les principes du RGPD et à protéger les droits des personnes. L’obligation intervient dès la détermination des moyens du traitement, puis au moment du traitement lui-même.

Le choix d’un logiciel, l’organisation d’un formulaire ou la répartition des accès sont donc des décisions à examiner en amont. Le texte ne réduit pas la conformité à une configuration technique. Une procédure d’exercice des droits impossible à appliquer peut rester défaillante malgré un système sécurisé.

Le recours à un prestataire ne déplace pas cette obligation. Demandez les informations nécessaires pour comprendre les paramètres, les flux et les possibilités de suppression avant de retenir l’outil. L’article 28 sur la sous-traitance encadre parallèlement la relation avec ce prestataire.

Comment apprécier les moyens à mettre en place ?

Le texte énumère l’état des connaissances, les coûts de mise en œuvre, la nature, la portée, le contexte, les finalités et les risques pour les personnes. Il faut expliquer pourquoi les mesures retenues conviennent au traitement réel.

Les lignes directrices 4/2019 du CEPD, version 2.0, paragraphes 23 à 25, précisent que le coût permet de comparer des solutions efficaces ; il ne justifie pas un traitement contraire aux principes. Un plan de correction échelonné ne vaut donc pas autorisation générale de maintenir une non-conformité.

Exemple fictif. Une PME souhaite ouvrir un espace de support client. Deux architectures répondent au besoin : une copie complète de la base de production, ou un accès limité aux seuls dossiers rattachés aux demandes en cours. L’examen doit porter sur l’utilité des données, les accès et les risques de chaque solution, puis sur les preuves que la configuration retenue fonctionne.

La pseudonymisation est citée comme exemple dans l’Art. 25(1). Elle n’est ni une technique imposée indistinctement à tous les traitements ni une sortie automatique du RGPD. Réduire les données, éviter de recopier une base ou utiliser des données fictives peut aussi répondre à un besoin donné. Le principe de minimisation guide cette analyse.

Article 25(2) : les quatre dimensions de la protection par défaut

L’Art. 25(2) demande que, par défaut, seules les données nécessaires à chaque finalité spécifique soient traitées. Il précise quatre dimensions : quantité, étendue des opérations, durée et accessibilité.

Ces contrôles sont une méthode pratique, pas une liste réglementaire exhaustive. Leur intérêt est de rapprocher le paramètre annoncé du comportement réellement observé.

La nécessité s’apprécie par finalité

Un CRM peut servir au support, à la facturation et à la prospection. Le fait qu’une donnée soit utile à l’une de ces activités ne justifie pas automatiquement son emploi dans les autres. Un enrichissement ou un profilage doit disposer de son propre cadre licite et répondre aux exigences applicables ; l’activation manuelle d’une option ne régularise pas, à elle seule, le traitement.

La durée doit également correspondre à la finalité. L’Art. 25 n’impose ni une durée universelle de conservation ni une purge obligatoirement automatisée pour chaque organisme. Une méthode manuelle doit cependant rester effective et adaptée au volume. Une tâche jamais exécutée ne satisfait pas l’objectif de protection.

L’accès à un nombre indéterminé de personnes

La dernière phrase de l’Art. 25(2) prévoit que les données ne soient pas accessibles par défaut à un nombre indéterminé de personnes sans l’intervention de la personne concernée. Il faut distinguer cette règle de la limitation générale des accès aux données nécessaires.

Dans un espace collaboratif, vérifiez séparément le partage avec un groupe métier défini, avec l’ensemble de l’entreprise et avec toute personne disposant d’un lien public. Ces réglages ne produisent pas les mêmes effets. Un document contenant des données personnelles ne doit pas devenir public simplement parce que le logiciel active cette option à sa création.

Une décision utile : SAN-2022-020

La délibération CNIL SAN-2022-020 du 10 novembre 2022, points 54 à 63, examine une application de communication vocale : fermer sa fenêtre principale ne mettait pas fin à la connexion au salon. Ce comportement pouvait conduire l’utilisateur à continuer de transmettre des informations alors qu’il pensait avoir quitté l’application.

Le grief relatif à l’Art. 25(2) porte ici sur ce fonctionnement par défaut. La conservation des comptes inactifs était examinée sous l’Art. 5(1)(e). La sanction globale de 800 000 euros concerne plusieurs manquements ; elle ne constitue pas le tarif d’un défaut de paramétrage.

Le contrôle à en tirer : vérifiez ce que signifient concrètement « fermer », « déconnecter », « désactiver » et « supprimer » dans un parcours utilisateur. Le libellé du bouton et le traitement effectivement poursuivi doivent être cohérents.

Article 25(3) : quelle valeur pour une certification ?

Un mécanisme de certification approuvé selon l’Art. 42 peut servir d’élément de démonstration. Le texte n’institue pas un renversement automatique de la charge de la preuve. L’Art. 42(4) précise que la certification ne diminue pas la responsabilité du responsable ou du sous-traitant.

Avant d’utiliser un certificat dans le dossier de conformité, vérifiez son référentiel, son périmètre, sa validité et les opérations couvertes. Un certificat relatif à une organisation ou à un service ne prouve pas que chaque configuration utilisée dans votre entreprise répond à votre finalité. Ne confondez pas non plus une certification ISO avec un mécanisme approuvé au titre de l’Art. 42.

Un dossier de preuve utile pour le responsable du traitement

Pour chaque changement important, conservez une fiche courte reliant :

1. Le besoin. Finalité, personnes et données nécessaires.
2. Les options. Choix étudiés, risques et motifs de la solution retenue.
3. La configuration réelle. Paramètres, habilitations, conservation et flux activés.
4. La vérification. Résultat d’un essai adapté et corrections encore nécessaires.
5. Le suivi. Responsable de l’action et événement déclenchant une nouvelle revue.

Ce dossier peut être relié au registre et, lorsque les conditions sont remplies, à l’analyse d’impact prévue par l’article 35. L’absence d’obligation d’AIPD ne dispense pas de l’Art. 25.

Une revue doit tenir compte des changements du service et des risques. Les lignes directrices du CEPD, paragraphes 37 à 39, rappellent que cette exigence concerne aussi les systèmes anciens et les opérations confiées aux prestataires. L’Art. 25 ne fixe pas une cadence annuelle uniforme.

Sanctions de l’article 25

L’Art. 83(4)(a) prévoit un plafond de 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Le montant effectif dépend notamment des circonstances énumérées à l’Art. 83(2).

Une faille ou un incident ne permet pas de calculer une sanction à partir de ce seul plafond. Il faut examiner les obligations en cause, les choix documentés et les mesures effectives. L’article 32 complète l’analyse sur la sécurité du traitement.

Ce qu’il faut retenir

• L’Art. 25 s’applique à la conception puis pendant la vie du traitement.
• Les mesures doivent mettre les principes en œuvre de manière effective.
• Le paramétrage par défaut couvre les données, les opérations, la conservation et les accès.
• Une certification est un élément de preuve, sans exonération générale.
• Vérifiez le comportement du service avec des scénarios concrets et conservez les décisions utiles.

FAQ

Une PME doit-elle appliquer l’article 25 ?

Oui, lorsqu’elle agit comme responsable d’un traitement soumis au RGPD. L’article ne prévoit pas une exemption fondée sur le nombre de salariés ; les mesures sont appréciées selon le traitement et ses risques.

Un logiciel présenté comme conforme suffit-il ?

Non. Le responsable doit examiner son usage, sa configuration et les traitements réalisés pour ses finalités. Les informations du fournisseur doivent permettre cette vérification.

L’article 25 impose-t-il la pseudonymisation partout ?

Non. Il la cite comme exemple de mesure appropriée. Le choix doit répondre aux principes et aux risques du traitement, avec une protection effective.

Faut-il réaliser une AIPD pour prouver le privacy by design ?

Une AIPD est obligatoire lorsque ses propres conditions sont remplies. Dans les autres cas, il faut tout de même mettre en œuvre l’Art. 25 et pouvoir démontrer les choix de protection.

Pour suivre les décisions et les obligations RGPD, inscrivez-vous à la newsletter.

Thiébaut Devergranne, Docteur en droit privé (Paris II), plus de 20 ans d’expérience en droit des nouvelles technologies. Fondateur de donneespersonnelles.fr et de Legiscope.