Que signifient privacy by design et privacy by default ?

Ce que dit l'article 25

L'article 25 du RGPD impose deux obligations complémentaires. La protection des données dès la conception, ou privacy by design, oblige le responsable à mettre en œuvre, tant au moment de déterminer les moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, comme la pseudonymisation, destinées à appliquer efficacement les principes du règlement. La protection des données par défaut, ou privacy by default, l'oblige à garantir que, par défaut, seules les données nécessaires à chaque finalité spécifique sont traitées, ce qui vaut pour la quantité de données collectées, l'étendue du traitement, la durée de conservation et l'accessibilité. Les données ne doivent pas être rendues accessibles à un nombre indéterminé de personnes sans l'intervention de la personne concernée.

Pourquoi cette obligation est-elle si utile ?

Corriger un logiciel ou un site après sa mise en service coûte beaucoup plus cher que de prévoir les bons choix dès le départ : ajouter une fonction de suppression dans une base qui n'a pas été conçue pour, retirer des champs devenus obligatoires dans dix formulaires, migrer des données vers un hébergeur conforme. L'article 25 transforme ce bon sens en obligation juridique, que la CNIL vérifie lors de ses contrôles, notamment lorsqu'elle constate des durées de conservation illimitées faute de mécanisme de purge, ou des comptes accessibles à tous les salariés faute de gestion des droits.

Des exemples concrets

Pour un site de commerce en ligne, la protection dès la conception consiste par exemple à permettre la commande sans création de compte, à ne demander la date de naissance que si un produit est réservé aux majeurs, à ne pas stocker les numéros de carte bancaire en dehors du prestataire de paiement et à programmer la suppression des comptes inactifs. Pour une application mobile, à ne demander l'accès à la localisation qu'au moment où la fonction est utilisée. Pour un logiciel de gestion du personnel, à prévoir des profils d'accès différents pour les managers, les ressources humaines et la paie.

Intégrer la démarche dans les projets

La méthode la plus efficace consiste à ajouter une étape « protection des données » dans le cycle de chaque projet, avec une courte fiche à remplir dès l'expression du besoin : quelles données, pourquoi, sur quelle base légale, pour combien de temps, avec quels prestataires. Selon les réponses, le pilote de la conformité ou le délégué valide le projet, demande des ajustements ou déclenche une analyse d'impact. Les cahiers des charges des prestataires et les appels d'offres doivent reprendre ces exigences, car le responsable reste tenu de l'article 25 même lorsqu'il achète une solution toute faite.

Et pour les éditeurs de logiciels ?

L'article 25 s'adresse formellement au responsable du traitement, pas aux fabricants de produits. Le considérant 78 encourage toutefois les producteurs de produits, services et applications à prendre en compte le droit à la protection des données lors de leur conception, afin que leurs clients puissent s'acquitter de leurs obligations. En pratique, un éditeur qui ne permet ni de paramétrer les durées de conservation, ni de supprimer les données, ni de gérer finement les accès aura de plus en plus de mal à convaincre ses clients. La CNIL a publié un guide destiné aux développeurs qui rassemble les bonnes pratiques à intégrer dans le code.

Le lien avec la certification

Un mécanisme de certification approuvé peut servir d'élément pour démontrer le respect de l'article 25 (paragraphe 3). Les certifications et labels existants restent toutefois des éléments de preuve parmi d'autres : ils ne dispensent pas le responsable d'analyser son propre traitement et de documenter ses choix dans le registre des traitements.

Les sept principes fondateurs

La notion de protection de la vie privée dès la conception a été formalisée dans les années 1990 par Ann Cavoukian, alors commissaire à l'information et à la protection de la vie privée de l'Ontario, au Canada. Elle a proposé sept principes fondateurs : prévenir plutôt que guérir, faire de la protection de la vie privée le paramètre par défaut, l'intégrer dans la conception des systèmes, rechercher une fonctionnalité complète sans opposer vie privée et autres objectifs, assurer la sécurité de bout en bout pendant tout le cycle de vie des données, garantir la visibilité et la transparence, et respecter la vie privée des utilisateurs en plaçant leurs intérêts au centre. Adoptés par la conférence internationale des commissaires à la protection des données en 2010, ces principes ont inspiré l'article 25 du RGPD, qui les a transformés en obligation juridique.

La protection par défaut, en détail

L'article 25, paragraphe 2, impose que, par défaut, seules les données nécessaires à chaque finalité spécifique soient traitées. Cette obligation s'applique à la quantité de données collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. Le texte précise que les données ne doivent pas être rendues accessibles à un nombre indéterminé de personnes sans l'intervention de la personne concernée. Concrètement, un profil sur un réseau social doit être privé par défaut, les cases de partage de données avec des partenaires ne doivent pas être pré-cochées, les champs facultatifs d'un formulaire doivent être clairement signalés, et les paramètres de géolocalisation d'une application doivent être désactivés tant que l'utilisateur ne les active pas. La Commission irlandaise de protection des données a sanctionné TikTok en 2023 d'une amende de 345 millions d'euros, notamment parce que les comptes des enfants étaient publics par défaut.

Les lignes directrices du CEPD

Le Comité européen de la protection des données a adopté en 2020 des lignes directrices 4/2019 sur l'article 25, qui détaillent les éléments clés pour chaque principe de l'article 5. Pour la transparence, elles recommandent une information claire, multicanale et contextualisée. Pour la loyauté, elles condamnent les interfaces trompeuses et les déséquilibres de pouvoir. Pour la minimisation, elles invitent à se demander si chaque donnée est vraiment nécessaire et si des données agrégées ou pseudonymisées suffiraient. Pour la limitation de la conservation, elles préconisent des mécanismes de suppression automatique. Pour l'exactitude, elles suggèrent des contrôles de qualité à la saisie. Ces lignes directrices offrent ainsi une grille d'analyse très concrète pour les équipes de conception.

Les techniques qui protègent la vie privée

De nombreuses techniques permettent de concevoir des services plus protecteurs. La pseudonymisation remplace les identifiants directs par des alias, en conservant séparément la table de correspondance. L'agrégation produit des statistiques sans conserver les données individuelles. Le chiffrement de bout en bout empêche le prestataire lui-même d'accéder aux contenus. Le traitement local, sur l'appareil de l'utilisateur, évite de faire remonter des données vers un serveur, comme pour la reconnaissance vocale embarquée. La confidentialité différentielle ajoute un bruit statistique qui empêche d'identifier une personne dans un jeu de données. L'apprentissage fédéré entraîne un modèle d'intelligence artificielle sans centraliser les données. Ces technologies, regroupées sous le nom de technologies renforçant la protection de la vie privée, font l'objet de travaux de la CNIL et de l'ENISA.

Un exemple : concevoir une application de prise de rendez-vous

Imaginons une start-up qui développe une application de prise de rendez-vous pour des professionnels de santé. Dès la phase de conception, l'équipe se demande quelles données sont nécessaires : identité, coordonnées et motif général du rendez-vous suffisent, sans demander le détail des symptômes. Elle choisit un hébergeur certifié pour les données de santé, chiffre les données et limite l'accès des équipes de support aux seules informations nécessaires. Elle prévoit la suppression automatique de l'historique des rendez-vous après une durée définie avec les professionnels. Les rappels par SMS ne mentionnent pas la spécialité du praticien, pour éviter de révéler une information sensible à un tiers qui verrait le téléphone. Les statistiques d'usage sont agrégées. Le compte du patient peut être supprimé en quelques clics. Chacun de ces choix, pris au moment de la conception, coûte peu ; corrigé après le lancement, il aurait exigé des développements importants.

Protection dès la conception et sous-traitants

L'article 25 s'adresse au responsable de traitement, mais le considérant 78 encourage les producteurs de produits, de services et d'applications à tenir compte du droit à la protection des données lors de leur conception. En pratique, le responsable doit choisir des outils qui permettent de respecter ses obligations : un logiciel qui ne permet ni de paramétrer les durées de conservation, ni de restreindre les accès, ni d'exporter les données, ni de les supprimer, place son utilisateur en difficulté. Les critères de protection des données doivent donc figurer dans les cahiers des charges et les appels d'offres. Les éditeurs ont un intérêt commercial à proposer des fonctionnalités de conformité intégrées, qui deviennent un critère de choix.

Les sanctions fondées sur l'article 25

Les autorités de protection des données s'appuient de plus en plus sur l'article 25. Outre la sanction de TikTok, la Commission irlandaise a sanctionné Meta en 2022 d'une amende de 265 millions d'euros après la fuite des données de plus de 500 millions d'utilisateurs, collectées par des tiers grâce à des outils de recherche de contacts mal paramétrés, en retenant un manquement à la protection dès la conception et par défaut. La CNIL a également relevé ce manquement dans plusieurs décisions concernant des applications ou des sites dont les paramètres exposaient inutilement des données. Ces décisions confirment que l'article 25 n'est pas une simple déclaration d'intention, mais une obligation dont le respect est contrôlé.

Une check-list pour les équipes projet

Pour intégrer la démarche au quotidien, une courte liste de questions peut accompagner chaque étape d'un projet. À la conception : la finalité est-elle définie et toutes les données sont-elles nécessaires ? Peut-on pseudonymiser ou agréger ? Quelle est la base légale ? Au développement : les accès sont-ils limités, les données chiffrées, les journaux activés ? Les durées de conservation sont-elles paramétrées ? Les réglages par défaut sont-ils les plus protecteurs ? Au lancement : l'information des personnes est-elle prête, les droits peuvent-ils être exercés simplement, une analyse d'impact est-elle nécessaire ? En production : le traitement est-il inscrit au registre, les mesures sont-elles testées, les évolutions sont-elles réévaluées ? Cette liste peut être adaptée à chaque organisation et intégrée aux outils de gestion de projet.

Les interfaces respectueuses

La protection dès la conception concerne aussi le design des interfaces. Le laboratoire d'innovation numérique de la CNIL a publié en 2019 un cahier intitulé « La forme des choix », qui analyse comment les choix graphiques et ergonomiques influencent les décisions des utilisateurs en matière de vie privée. Il recense des pratiques trompeuses, comme les fausses urgences, les parcours de refus labyrinthiques ou les formulations culpabilisantes, et propose des principes pour des interfaces loyales : options présentées de façon équilibrée, informations au bon moment, retour en arrière possible, réglages compréhensibles. La CNIL anime aussi la plateforme « Données et Design », qui partage des méthodes et des exemples pour les designers. Une interface claire ne protège pas seulement les utilisateurs ; elle réduit aussi les réclamations et renforce la confiance dans le service.

Mesurer la protection dès la conception

Démontrer le respect de l'article 25 suppose de documenter les choix effectués. Les comptes rendus des réunions de conception, les arbitrages sur les données collectées, les paramètres par défaut retenus, les analyses de risques et les tests réalisés constituent autant de preuves. Le délégué à la protection des données peut formaliser un avis à chaque étape clé. Les certifications, comme celles prévues par l'article 42 ou les labels sectoriels, peuvent aussi attester d'une démarche structurée. L'article 25, paragraphe 3, prévoit expressément qu'un mécanisme de certification approuvé peut servir d'élément pour démontrer le respect de ces exigences.

Les bénéfices pour l'organisation

Au-delà de la conformité, la protection dès la conception présente des avantages économiques. Collecter moins de données réduit les coûts de stockage, de sécurisation et de gestion. Concevoir des services sobres limite les conséquences d'une éventuelle violation. Intégrer la conformité dès le départ évite des refontes coûteuses après le lancement ou après un contrôle. Proposer des services respectueux de la vie privée constitue un argument face à des clients de plus en plus attentifs, notamment dans les relations entre entreprises où les acheteurs intègrent la protection des données dans leurs critères de sélection. Enfin, des données mieux maîtrisées sont souvent des données de meilleure qualité, plus fiables pour piloter l'activité.

La sobriété des données

La protection dès la conception rejoint une préoccupation plus large de sobriété numérique. Collecter, stocker et traiter des données consomme de l'énergie et des ressources matérielles. Un service qui ne conserve que les données nécessaires, pendant la durée nécessaire, réduit son empreinte environnementale autant que son exposition aux risques. Plusieurs autorités, dont la CNIL, ont souligné les convergences entre minimisation des données et écoconception des services numériques. Le référentiel général d'écoconception des services numériques, publié par l'État, comporte d'ailleurs des recommandations sur la limitation des données collectées et des traceurs, qui recoupent directement les exigences du RGPD.

Former les équipes de conception

La protection dès la conception repose sur les personnes qui conçoivent les services : chefs de projet, développeurs, designers, architectes, équipes produit. Leur formation est donc décisive. Elle porte sur les principes du RGPD, les bonnes pratiques de développement sécurisé, les techniques de pseudonymisation, la gestion des durées de conservation et les pièges des interfaces trompeuses. La CNIL publie un guide du développeur, disponible en ligne et sur une plateforme de code collaborative, qui détaille en fiches pratiques comment intégrer la protection des données dans le cycle de développement : choix des bibliothèques, gestion des secrets, journalisation, tests, documentation. Intégrer ces sujets dans l'accueil des nouveaux développeurs et dans les revues de code permet d'en faire un réflexe partagé.

Les questions à poser à un éditeur de logiciel

Lors du choix d'un logiciel, quelques questions permettent d'évaluer si l'éditeur a intégré la protection dès la conception. Le logiciel permet-il de paramétrer des durées de conservation et de purger automatiquement les données ? Les droits d'accès peuvent-ils être définis finement par profil ? Les accès et les modifications sont-ils journalisés ? Les données sont-elles chiffrées au repos et en transit ? L'export des données d'une personne, pour répondre à une demande d'accès ou de portabilité, est-il possible en quelques clics ? La suppression d'une personne est-elle complète, y compris dans les historiques ? Les réglages par défaut sont-ils les plus protecteurs ? Un éditeur qui répond positivement à ces questions facilite considérablement la conformité de ses clients et mérite d'être privilégié, même à un prix légèrement supérieur.

Cette démarche, inscrite dans les habitudes des équipes, transforme une obligation juridique en méthode de travail, au bénéfice des utilisateurs comme de l'organisation. Elle suppose surtout un réflexe simple : chaque fois qu'une donnée supplémentaire est envisagée, se demander si le service fonctionnerait sans elle, et si oui, y renoncer.

Le premier réflexe

Le meilleur moment pour protéger une donnée reste celui où l'on décide de ne pas la collecter.