Proportionnalité RGPD : justifier vos choix

Un traitement peut poursuivre un objectif légitime tout en utilisant des moyens excessifs. Pour apprécier sa proportionnalité, il faut examiner ce qu’il apporte, les atteintes qu’il peut causer et les solutions moins intrusives disponibles. Le raisonnement doit porter sur le fonctionnement réel du dispositif.

D’où vient la proportionnalité en droit des données

Le RGPD n’emploie pas le mot comme un article autonome, mais le considérant 4 rappelle que le droit à la protection des données n’est pas absolu : il doit être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. Ce considérant éclaire l’interprétation ; il ne crée pas à lui seul d’obligation distincte. L’obligation opérationnelle se trouve dans les articles qui la concrétisent : minimisation (Art. 5(1)(c)), nécessité propre à chaque base légale (Art. 6(1)(b) à (f)) et protection dès la conception (Art. 25).

Au niveau de l’Union, l’Art. 52(1) de la Charte des droits fondamentaux admet une limitation des droits de ses articles 7 et 8 seulement si elle est prévue par la loi, respecte leur contenu essentiel et reste nécessaire et proportionnée à un objectif d’intérêt général. La Cour de justice applique ce raisonnement en pratique :

Ces arrêts concernent des contextes précis (législation nationale, transport, copropriété) ; ils illustrent une méthode et ne se transposent pas mécaniquement à tout traitement. On n’en retient donc que le raisonnement : objectif défini, moyen apte à l’atteindre, absence d’alternative moins intrusive.

Distinguer finalité, nécessité et minimisation

La finalité répond à la question « dans quel but ? ». La nécessité demande si l’opération et les données sont réellement utiles au regard des exigences de la base légale retenue. La minimisation limite les données à ce qui est adéquat, pertinent et nécessaire pour les finalités. Ces notions se complètent ; elles ne constituent pas trois noms du même principe. Art. 5(1)(b)-(c) et 6(1) du RGPD.

Commencez donc par formuler une finalité déterminée. « Améliorer les services » est trop vague pour expliquer pourquoi une équipe doit consulter l’intégralité des dossiers de clients. Décrivez le résultat recherché : reproduire une erreur sur un champ précis, traiter une réclamation ou vérifier une opération.

La minimisation des données porte notamment sur les informations recueillies. La proportionnalité du dispositif conduit aussi à examiner l’étendue des opérations, les destinataires, les accès et les effets sur les personnes. L’Art. 25(2) étend explicitement les protections par défaut à la quantité de données, à l’étendue du traitement, à la durée et à l’accessibilité. Art. 25(1)-(2).

Comparer les solutions avant de décider

La grille suivante est une méthode de travail proposée. Elle ne remplace pas les conditions propres à la base légale ni les règles particulières applicables aux données traitées.

Exemple hypothétique. Une PME veut résoudre une erreur d’affichage dans son outil de support. Trois options existent : reproduire le problème avec des données fictives, transmettre un extrait limité, ou copier toute la base clients dans un environnement de test.

Le fait que la copie complète soit plus rapide ne suffit pas à démontrer sa nécessité. L’équipe doit expliquer pourquoi les deux premières options seraient insuffisantes. Si un extrait réel est nécessaire, elle peut retirer les champs sans rapport avec l’erreur, limiter les accès et prévoir sa suppression après résolution. Le chiffrement protège le fichier, mais ne justifie pas d’y inclure des données inutiles. Le guide sur les données de production utilisées en test détaille ce cas.

Trois cas où la proportionnalité se joue concrètement

Le raisonnement change selon l’intensité de l’atteinte. Les trois exemples ci-dessous sont des illustrations hypothétiques, destinées à montrer la démarche et non à fournir une solution toute faite.

Vidéosurveillance d’un entrepôt. L’objectif est de prévenir les vols. La caméra orientée vers les quais de chargement et la zone de stockage répond à ce but ; une caméra braquée en continu sur le poste d’un salarié poursuit autre chose, à savoir son contrôle. Le dispositif doit donc être limité dans son champ, ses horaires et ses accès aux images. Voir la vidéosurveillance en entreprise.

Géolocalisation d’un véhicule de service. Suivre la position d’une camionnette pour organiser des interventions peut se justifier. La conserver en continu pendant les trajets personnels autorisés, ou collecter la position à la seconde alors qu’un point toutes les quelques minutes suffirait, pose une question d’excès. Le salarié doit pouvoir désactiver le suivi en dehors du temps de travail lorsque le véhicule est utilisé à titre privé. Détails dans la géolocalisation des véhicules.

Vérification d’identité à l’inscription. Une plateforme qui demande une pièce d’identité complète pour un simple compte de newsletter dépasse ce que la finalité exige. À l’inverse, un service financier soumis à des obligations de vigilance peut devoir vérifier l’identité, avec une base légale précise. Le même document peut donc être proportionné dans un cas et excessif dans l’autre.

Les erreurs de raisonnement les plus fréquentes

• Confondre utile et nécessaire. Qu’une donnée serve un jour à une analyse n’établit pas que le traitement ne puisse s’en passer.
• Invoquer la sécurité comme compensation générale. Chiffrer, pseudonymiser ou restreindre l’accès réduit les risques, mais ne rend pas licite la collecte de données sans lien avec l’objectif.
• Se fonder sur le consentement pour tout justifier. Le consentement ne dispense pas du respect de l’Art. 5(1)(c) ; il est en outre fragile dans une relation de subordination, comme le travail.
• Réaliser l’analyse une seule fois. Un nouveau champ, un nouveau destinataire ou une durée allongée modifient le calcul.
• Documenter après coup. Une justification rédigée après un contrôle pèse peu face à une décision motivée à la date du choix, conformément au principe de responsabilité de l’Art. 5(2).

Adapter le raisonnement à la base légale

Une mesure utile n’est pas automatiquement nécessaire à l’exécution d’un contrat au sens de l’Art. 6(1)(b). La CNIL rappelle qu’il faut examiner le lien objectif avec le service contractuel ; l’inscription d’une opération dans les conditions générales ne suffit pas. CNIL, base légale du contrat.

Lorsque l’organisme invoque l’intérêt légitime, l’Art. 6(1)(f) exige aussi de confronter cet intérêt aux intérêts et droits des personnes. Une mesure de sécurité complémentaire peut réduire une atteinte, sans rendre automatiquement acceptable une surveillance excessive. Une information claire est nécessaire, mais elle ne neutralise pas tous les effets défavorables.

Si le traitement nécessite le consentement, ce choix ne dispense pas de la minimisation prévue par l’Art. 5(1)(c). Aucune base légale ne permet de collecter sans limite simplement parce qu’une personne a signé un formulaire. Art. 5(1)(c), 6(1) et 7.

Intégrer la proportionnalité au dossier du projet

La protection dès la conception et par défaut intervient au choix des moyens et pendant le traitement. Elle ne s’arrête pas à la mise en service : consultez le guide privacy by design et privacy by default.

Lorsque le projet présente un risque élevé, l’analyse d’impact (AIPD) doit évaluer expressément la nécessité et la proportionnalité des opérations au regard des finalités. L’obligation dépend des conditions de l’Art. 35 ; tout profilage ou tout usage de données sensibles n’entraîne pas, isolément et sans analyse, les mêmes conséquences. Art. 35(1), 35(3) et 35(7)(b).

Conservez la comparaison des options, les restrictions retenues et les faits sur lesquels la décision repose. Réouvrez le dossier lorsque le périmètre change : nouveaux champs, partage élargi, conservation prolongée ou réutilisation pour une autre finalité.

Ce qu’il faut retenir

• Un objectif légitime ne justifie pas tous les moyens.
• Comparez les alternatives sur leur efficacité et leurs effets sur les personnes.
• Limitez les données, mais aussi les opérations, les accès et les durées.
• Documentez les choix et réexaminez-les lorsque le dispositif évolue.

FAQ

Le consentement rend-il un traitement proportionné ?

Non. Il peut constituer une base légale lorsque ses conditions sont réunies, mais les principes de minimisation et les autres exigences du RGPD restent applicables.

Faut-il toujours choisir la solution la moins coûteuse ?

Non. Le coût peut entrer dans l’appréciation des mesures de protection, notamment selon l’Art. 25(1), mais il ne dispense pas de respecter les exigences applicables au traitement.

Une grille courte peut-elle suffire ?

La profondeur de l’analyse dépend du traitement et de ses risques. Une justification courte mais précise peut être utile pour un cas simple ; un dispositif complexe exige des éléments plus développés, notamment lorsqu’une AIPD est obligatoire.

Quelle différence entre minimisation et proportionnalité ?

La minimisation (Art. 5(1)(c)) vise les données : elles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire. La proportionnalité est un raisonnement plus large, qui examine aussi les moyens, les accès, la durée et les effets du traitement sur les personnes.

Qui doit démontrer que le traitement est proportionné ?

Le responsable de traitement. L’Art. 5(2) lui impose de pouvoir démontrer le respect des principes de l’Art. 5, ce qui suppose de conserver sa comparaison des options et ses motifs. Le principe de limitation de la conservation relève de la même logique de démonstration.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.