Nouvelle catégorie de données : réexaminer le projet

Ajouter un champ dans un logiciel exige une décision sur son utilité, son régime juridique et ses conséquences dans tous les circuits qui le recopient. Un champ facultatif peut être excessif ; une donnée utile peut nécessiter des restrictions nouvelles. La revue doit aboutir à l’une de ces réponses : collecter avec des conditions définies, réduire la précision demandée, ou renoncer.

Le développeur ne devrait pas recevoir seulement « ajouter une colonne ». Il lui faut une spécification : personnes concernées, valeurs acceptées, accès, durée, usages interdits et comportement lorsque la réponse manque. Voici comment produire cette décision avant la première collecte.

Commencer par l’opération que la donnée permettra

Demandez au métier de terminer cette phrase : « Nous devons connaître cette information pour décider ou réaliser… ». Une finalité comme « mieux connaître les clients » ne permet pas de déterminer la quantité nécessaire. « Choisir un équipement de manutention adapté au passage de livraison » permet déjà de discuter la précision utile.

Les Art. 5(1)(b) et 5(1)(c) du RGPD imposent des finalités déterminées et une collecte limitée au nécessaire. Il faut donc comparer le champ demandé aux solutions moins intrusives. Pouvez-vous demander une dimension plutôt qu’une photographie de tout le logement ? Une confirmation d’éligibilité plutôt qu’une pièce contenant plusieurs informations sans rapport avec le besoin ?

Décrivez aussi l’absence de réponse. Si le service reste réalisable par un autre parcours, expliquez-le dans le formulaire et dans la procédure interne. Si une information est indispensable à une opération précise, indiquez cette conséquence sans prétendre que tout le service devient impossible.

L’urgence ne modifie pas cette méthode. La revue RGPD d’un projet urgent sert à déterminer un périmètre effectivement réalisable, avec les garanties nécessaires avant sa mise en service.

Trois champs proposés pour une même livraison

Prenons un exemple entièrement fictif. La société de mobilier Atelier Sol prépare la livraison de meubles volumineux au domicile de ses clients. Son formulaire comporte déjà l’adresse et les coordonnées du client contractant. L’équipe propose trois nouveaux champs pour éviter des livraisons impossibles et mieux préparer l’installation.

Le premier champ reste une donnée personnelle dans ce dossier : il est rattaché à une adresse et à un client. Son apparence technique ne le rend pas anonyme. Sa nécessité est toutefois argumentée : la dimension du meuble et celle du passage déterminent la faisabilité de la prestation promise.

Le second champ repose sur une mauvaise traduction du besoin. L’entreprise doit organiser ses moyens humains ; compter les habitants ne démontre ni leur présence ni leur capacité à déplacer un meuble. Rendre la question facultative ne corrigerait pas cette absence de nécessité.

Le troisième champ mélange une adaptation concrète avec son explication médicale. L’équipe décide d’indiquer clairement que la livraison ne nécessite pas la participation physique du client. Elle conserve un contact pour organiser une adaptation particulière, sans formulaire demandant un diagnostic. Ce contact ne constitue pas une permission de conserver ensuite toute information médicale reçue.

Cette comparaison est plus utile qu’une note générale « validé par le DPO » : elle précise ce que le projet conserve, ce qu’il écarte et pourquoi.

Qualifier le contenu et le contexte, puis la base légale

L’Art. 6(1)(b) peut couvrir les opérations nécessaires à l’exécution du contrat avec la personne concernée. Dans l’exemple, la préparation matérielle de la livraison au client contractant répond à cette fonction. Cela ne justifie pas automatiquement une analyse commerciale de son logement ni la collecte de renseignements sur ses proches.

Un même outil peut héberger plusieurs traitements avec des bases différentes. Ne recopiez donc pas la base légale affichée sur la fiche du logiciel sans examiner l’usage ajouté. Si le champ sert désormais à classer les clients pour une autre opération, conduisez l’analyse de changement de finalité et de base légale.

Lorsqu’une donnée révèle la santé ou une autre catégorie de l’Art. 9(1), une base de l’article 6 ne suffit pas : il faut également une condition applicable de l’Art. 9(2). Le consentement explicite est une possibilité prévue par ce texte, pas un moyen de rendre toute collecte pertinente. Il ne dispense pas de la minimisation. Régime des catégories particulières.

Le nom donné au champ ne décide pas de sa qualification. Une rubrique « confort » peut enregistrer une pathologie ; une demande d’aménagement peut révéler une information de santé selon son contenu et son contexte. Inversement, toute donnée confidentielle ou fortement identifiante n’appartient pas automatiquement aux catégories de l’article 9. Les condamnations et infractions relèvent notamment du régime distinct de l’article 10.

En pratique, écrivez la qualification retenue et sa raison. Si cette qualification reste incertaine, n’ouvrez pas un champ libre en attendant de trancher : sa collecte rendrait le problème immédiatement réel.

Transformer la décision en spécification utilisable

Pour Atelier Sol, la fiche C-18 ci-dessous décrit la seule donnée nouvelle retenue. C’est une ressource hypothétique renseignée, à adapter ; elle ne démontre pas qu’un logiciel a été configuré ou testé.

Finalité et périmètre. Préparer l’acheminement du meuble commandé jusqu’à la pièce prévue. Le champ concerne uniquement les commandes nécessitant cette vérification, après identification des dimensions du meuble.

Collecte. Valeur numérique en centimètres et choix « je ne sais pas ». Aucun commentaire médical ni photographie demandés. La réponse inconnue crée une tâche de préparation ; elle ne devient ni zéro centimètre ni un refus automatique de livraison.

Utilisation. Le coordinateur compare la mesure déclarée aux contraintes du meuble et du passage. Une valeur paraît insuffisante : il contacte le client pour préciser les conditions matérielles avant de confirmer l’acheminement. La donnée déclarée n’est pas présentée comme une mesure certifiée par l’entreprise.

Accès. Le coordinateur et l’équipe affectée à la livraison disposent de l’information utile. Les commerciaux et les exports de prospection n’en disposent pas. Un remplacement d’équipe modifie les habilitations ; il ne justifie pas l’ouverture à tous les utilisateurs.

Conservation. Le champ de préparation est supprimé à la clôture effective de la livraison et de ses éventuelles difficultés opérationnelles. Ce choix propre au scénario n’est pas un délai légal universel. Si un différend précis exige d’en préserver une preuve, sa nécessité, son périmètre et sa durée sont examinés séparément, avec des accès restreints.

Responsabilités. La responsable logistique valide le besoin et le fonctionnement du parcours. L’administrateur applique les permissions et les règles de suppression. Le DPO, s’il est désigné, conseille sur la qualification et les garanties ; le responsable du traitement conserve la responsabilité de la décision.

Cette fiche applique la protection par défaut : quantité collectée, étendue du traitement, durée et accessibilité doivent être limitées à ce qui est nécessaire à chaque finalité. Art. 25(2).

Suivre le champ au-delà de l’écran

Un champ masqué pour les commerciaux peut subsister dans un export général, une recherche, une notification ou une interface de programmation. Dessinez son parcours complet : saisie, stockage, affichage, transmission au prestataire, copies et suppression. Demandez une réponse pour chaque destination existante ; une destination non examinée reste inconnue.

Dans C-18, l’export destiné à l’équipe de livraison doit reprendre la mesure avec le numéro de commande. L’export de prospection doit l’exclure. Le support technique n’a accès à des valeurs réelles que lorsque son intervention le justifie et dans les conditions prévues. Si le prestataire traite pour le compte de l’entreprise, vérifiez que la description contractuelle des données et les instructions couvrent cette évolution. Art. 28(3).

Organisez également la correction. Si le client rectifie sa mesure, l’équipe affectée doit disposer de la valeur actualisée ; le coordinateur doit savoir si un document déjà transmis comporte encore l’ancienne. L’Art. 5(1)(d) impose de tenir les données exactes au regard de leurs finalités. Supprimer la mauvaise valeur à l’écran sans corriger le document utilisé ne résout pas le problème.

Mettre à jour l’information et l’analyse des risques

L’information au moment de la collecte doit correspondre à l’usage réel : finalité, base juridique, destinataires, durée ou critères de conservation, droits et conséquences de la non-fourniture, dans les conditions de l’Art. 13(1) et 13(2). Une nouvelle case dans le formulaire peut nécessiter une adaptation de la notice même si l’entreprise ne change pas de logiciel.

Pour C-18, le texte près du champ peut expliquer : « Cette mesure sert à préparer le passage du meuble commandé. Si vous ne la connaissez pas, choisissez cette option : notre équipe vous contactera pour organiser la préparation. » Cette phrase constitue une aide de saisie, pas une notice complète remplaçant les informations légales.

L’ajout d’une donnée n’entraîne pas automatiquement une analyse d’impact, mais il peut modifier les risques, notamment par les rapprochements, les personnes concernées ou les conséquences d’une erreur. Examinez les critères de l’Art. 35(1) et les listes applicables. Si une AIPD existe, son réexamen est nécessaire lorsque le risque change, conformément à l’Art. 35(11). Le guide de réexamen d’une AIPD après évolution du produit détaille cette décision.

Accepter la configuration, pas seulement le document

Avant l’activation, faites contrôler le parcours avec des données fictives : valeur renseignée, valeur inconnue, correction, consultation par un rôle autorisé et par un rôle exclu, export destiné à la livraison, export commercial et suppression après clôture.

Pour chaque contrôle, consignez le résultat réellement obtenu. Le critère d’acceptation de C-18 est précis : l’équipe affectée voit la mesure utile, le commercial ne l’obtient ni par l’écran ni par son export, et l’option inconnue permet la préparation annoncée. Une simple capture du formulaire ne démontre pas ces trois résultats.

Une destination non maîtrisée ou une suppression non opérationnelle empêche d’activer le champ dans les conditions décrites. Le métier peut maintenir le parcours antérieur, sans nouvelle collecte, pendant la correction. Si des données réelles ont déjà été recueillies, il faut examiner leur licéité, leur sort et une éventuelle violation de données séparément ; retirer le champ ne règle pas les copies existantes.

Ce qu’il faut retenir

• Décidez de chaque donnée à partir de l’opération nécessaire et des alternatives possibles.
• Séparez nécessité, base légale et éventuel régime de l’article 9.
• Spécifiez les valeurs absentes, les accès, les copies, la correction et la suppression.
• Acceptez seulement une configuration dont les conditions ont été effectivement vérifiées.

FAQ

Un menu déroulant évite-t-il les données sensibles ?

Il limite les réponses possibles, mais ses catégories peuvent elles-mêmes révéler la santé ou d’autres informations protégées. Examinez les valeurs proposées et ce qu’elles permettent de déduire dans leur contexte.

Peut-on réutiliser un champ abandonné pour un nouveau besoin ?

Le stockage déjà disponible ne dispense pas d’une nouvelle revue. Vérifiez aussi les anciennes valeurs : elles ne doivent pas être réinterprétées automatiquement comme si elles avaient été collectées pour le nouvel usage.

Faut-il toujours créer une nouvelle fiche au registre ?

Pas nécessairement. Une évolution peut être documentée dans la fiche du traitement existant si elle relève de ce traitement ; une finalité distincte peut demander une description séparée. L’essentiel est que le registre reflète les opérations réelles, avec les catégories de données prévues à l’Art. 30(1)(c).

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.