L’article 5 du RGPD fixe les sept principes que tout traitement de données personnelles doit respecter : licéité, loyauté et transparence ; limitation des finalités ; minimisation ; exactitude ; limitation de la conservation ; intégrité et confidentialité ; et responsabilité, c’est-à-dire la capacité à prouver que les six premiers sont appliqués. Tout le reste du règlement en découle, et c’est sur ces principes que la CNIL fonde la plupart de ses sanctions.
L’essentiel
- Sept principes, dont six portent sur la manière de traiter les données et un sur la preuve.
- Ils s’appliquent à toute entreprise, quelle que soit sa taille, et à tout traitement, du formulaire de contact à la paie.
- Le registre des traitements est l’outil qui permet de les respecter et de le démontrer.
- Le manquement à l’article 5 relève du plafond de sanction le plus élevé : 20 millions d’euros ou 4 % du chiffre d’affaires mondial.
Ce que dit l’article 5
Le paragraphe 1 énonce six principes relatifs au traitement, le paragraphe 2 ajoute le principe de responsabilité. Le tableau résume chacun d’eux avec la formulation du règlement.
| Principe | Ce que dit le texte |
|---|---|
| Licéité, loyauté, transparence (5.1.a) | Les données sont traitées de manière licite, loyale et transparente au regard de la personne concernée. |
| Limitation des finalités (5.1.b) | Les données sont collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. |
| Minimisation (5.1.c) | Les données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités. |
| Exactitude (5.1.d) | Les données sont exactes et, si nécessaire, tenues à jour ; les données inexactes sont effacées ou rectifiées sans tarder. |
| Limitation de la conservation (5.1.e) | Les données sont conservées sous une forme permettant l’identification des personnes pendant une durée n’excédant pas celle nécessaire aux finalités. |
| Intégrité et confidentialité (5.1.f) | Les données sont traitées de façon à garantir une sécurité appropriée, y compris contre le traitement non autorisé, la perte, la destruction ou les dégâts accidentels. |
| Responsabilité (5.2) | Le responsable du traitement est responsable du respect de ces principes et est en mesure de le démontrer. |
Ce que cela change pour une PME
Licéité, loyauté, transparence
Chaque traitement repose sur une des bases légales de l’article 6 (contrat, obligation légale, intérêt légitime, consentement…), et les personnes savent qui collecte, pourquoi et pour combien de temps. Concrètement : une politique de confidentialité lisible, et une mention sous chaque formulaire.
Limitation des finalités
Une adresse collectée pour envoyer un devis ne sert pas à une newsletter sans accord distinct. Chaque ligne du registre porte une finalité précise ; « améliorer l’expérience utilisateur » n’en est pas une.
Minimisation
Chaque champ d’un formulaire doit se justifier. Une date de naissance sur une demande de contact, une civilité sur un téléchargement d’ebook ou un numéro de téléphone obligatoire sans raison sont des écarts classiques, faciles à corriger.
Exactitude
Un fichier client qui garde des adresses périmées ou des contacts partis expose l’entreprise à des envois mal dirigés. Une revue annuelle du CRM et une procédure simple de rectification suffisent dans la plupart des cas.
Limitation de la conservation
Chaque type de donnée a une durée : trois ans après le dernier contact pour un prospect, dix ans pour une facture, deux ans pour une candidature non retenue, par exemple. Ces durées figurent dans le registre et déclenchent une suppression ou un archivage ; l’article sur la politique de rétention donne une grille de référence.
Intégrité et confidentialité
Mots de passe uniques, double authentification, sauvegardes, accès limités et retirés au départ des collaborateurs : les mesures attendues d’une PME sont détaillées à l’article 32.
Responsabilité
Appliquer les six principes ne suffit pas : il faut pouvoir le montrer. Le registre des traitements, les politiques datées, les preuves de consentement et les traces de formation constituent ce dossier. L’article sur l’accountability détaille ce principe.
Ce que la CNIL a sanctionné sur ce fondement
| Décision | Montant | Manquement retenu |
|---|---|---|
| Discord, 10 novembre 2022 | 800 000 euros | Conservation des données de comptes inactifs sans durée définie (2,5 millions de comptes inactifs depuis plus de trois ans), information insuffisante, mots de passe trop faibles, absence d’analyse d’impact. |
| Doctissimo, 11 mai 2023 | 380 000 euros | Données de tests et quiz conservées 24 mois, comptes inactifs depuis trois ans conservés sans anonymisation (article 5.1.e), collecte de données de santé sans consentement, sécurité insuffisante. |
| Amazon France Logistique, 27 décembre 2023 | 32 millions d’euros | Indicateurs de surveillance des salariés jugés excessifs au regard de la minimisation (article 5.1.c), conservation de l’ensemble des données pendant 31 jours, intérêt légitime écarté, information et sécurité insuffisantes. |
Dans les trois cas, le manquement à l’article 5 s’accompagne d’autres griefs, mais c’est lui qui fonde l’essentiel du raisonnement : collecter plus que nécessaire et garder plus longtemps que nécessaire sont les deux reproches les plus fréquents de la CNIL, quelle que soit la taille de l’organisme.
Les questions que je pose en audit
- Pour chaque traitement, quelle est la finalité écrite dans le registre, et correspond-elle à ce qui est réellement fait ?
- Quels champs de vos formulaires et de vos fiches clients ne servent à rien aujourd’hui ?
- Depuis quand n’avez-vous pas supprimé un contact, un dossier candidat ou un compte inactif ?
- Quelle durée de conservation est fixée pour chaque type de donnée, et qui la fait appliquer ?
- Qui a accès à quoi, et les accès des personnes parties ont-ils été retirés ?
- Si la CNIL vous demandait demain de prouver que ces principes sont respectés, quels documents pourriez-vous lui montrer ?
Prêt à l’emploi : les durées de conservation d’une PME
Le tableau ci-dessous reprend les durées de référence issues des recommandations de la CNIL et des obligations légales ; il se copie dans la colonne « durée » du registre, puis s’ajuste à vos textes sectoriels.
| Type de donnée | Durée | Référence |
|---|---|---|
| Prospects (contacts commerciaux) | 3 ans après le dernier contact | Recommandation CNIL |
| Clients : données contractuelles et factures | Durée du contrat, puis 10 ans en archivage | Code de commerce (L. 123-22) |
| Candidatures non retenues | 2 ans après le dernier contact | Recommandation CNIL |
| Dossier du salarié | Durée du contrat, puis 5 ans pour la plupart des pièces, bulletins de paie 5 ans minimum | Code du travail, CNIL |
| Journaux de connexion | 6 mois à 1 an | Recommandation CNIL |
| Vidéosurveillance | 1 mois maximum, sauf procédure en cours | Recommandation CNIL |
| Cookies et consentements | Consentement renouvelé au plus tard tous les 6 mois ; preuves conservées pendant la durée du traitement | Lignes directrices CNIL |
| Comptes utilisateurs inactifs | Suppression ou anonymisation après 2 à 3 ans d’inactivité, après information de la personne | Pratique validée par la CNIL |
Et en Suisse ?
La nLPD reprend les mêmes principes à son article 6 : licéité, bonne foi, proportionnalité, finalité, exactitude, et destruction ou anonymisation dès que les données ne sont plus nécessaires. La différence tient à la preuve : la nLPD n’énonce pas de principe de responsabilité équivalent au paragraphe 2, même si le registre et la documentation restent le moyen pratique d’y répondre. Voir le guide nLPD pour les entreprises.
Ce que je constate en mission. Le principe le moins respecté dans les PME n’est pas la sécurité mais la limitation de la conservation : presque aucune entreprise que j’audite n’a jamais supprimé un contact de son CRM, et les candidatures reçues par e-mail s’accumulent depuis des années. Fixer une durée par type de donnée, puis la faire appliquer par l’outil, est souvent l’action qui réduit le plus le risque pour le moins d’effort.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
L’article 5 s’applique-t-il à une micro-entreprise ?
Oui, sans seuil. Seules certaines obligations documentaires, comme le registre, prévoient des allègements pour les moins de 250 salariés, et encore avec des exceptions qui touchent la plupart des entreprises.
Que risque-t-on en cas de manquement ?
Les principes de l’article 5 relèvent du plafond le plus élevé de l’article 83 : 20 millions d’euros ou 4 % du chiffre d’affaires mondial. En pratique, la CNIL les invoque dans la plupart de ses décisions, souvent avec la minimisation et la durée de conservation.
Par où commencer ?
Par la cartographie de vos traitements, qui permet de vérifier les sept principes ligne par ligne. Notre guide mise en conformité RGPD en 7 étapes décrit la méthode.
Vérifier vos pratiques
Le test ci-dessous reprend les sept principes sous forme de questions ; pour un diagnostic complet, un audit RGPD ou un DPO externalisé prennent le relais.
Êtes-vous conforme à l’article 5 du RGPD ?
Sources
- Règlement (UE) 2016/679, article 5
- CNIL – Texte du RGPD, chapitre II, principes
- Le Monde Informatique – La CNIL inflige 380 000 € à Doctissimo (mai 2023)
- Lefebvre Dalloz – Surveillance des salariés : la CNIL sanctionne Amazon à hauteur de 32 M€ (décembre 2023)
- CNIL – Les sanctions prononcées (dont Discord, novembre 2022)
- CNIL – Les durées de conservation des données
