L’article 25 du RGPD impose deux obligations au responsable du traitement : la protection des données dès la conception, qui consiste à intégrer les mesures de protection au moment de concevoir un traitement, un outil ou un service, et la protection par défaut, qui impose que seules les données nécessaires soient traitées, avec les réglages les plus protecteurs activés sans action de la personne. Pour une PME, cela se traduit par une liste de questions à poser avant tout nouveau projet, et par des réglages à vérifier sur chaque outil déployé.
L’essentiel
- Dès la conception : la protection des données se décide au cahier des charges, pas après la mise en production.
- Par défaut : quantité de données, durée de conservation, accessibilité limitées au nécessaire, sans intervention de la personne.
- Mesures citées par le texte : pseudonymisation, minimisation, et toute mesure technique ou organisationnelle appropriée au risque.
- La certification (article 42) peut servir à démontrer le respect de l’article 25.
Ce que dit l’article 25
| Paragraphe | Ce que dit le texte |
|---|---|
| 25.1 – Dès la conception | Compte tenu de l’état des connaissances, des coûts, de la nature et des risques du traitement, le responsable met en œuvre, dès la détermination des moyens et lors du traitement, des mesures techniques et organisationnelles appropriées (telles que la pseudonymisation) destinées à appliquer les principes de protection des données, comme la minimisation, et à protéger les droits des personnes. |
| 25.2 – Par défaut | Le responsable met en œuvre les mesures garantissant que, par défaut, seules les données nécessaires à chaque finalité sont traitées : cela s’applique à la quantité de données, à l’étendue du traitement, à la durée de conservation et à l’accessibilité ; par défaut, les données ne sont pas rendues accessibles à un nombre indéterminé de personnes sans intervention de la personne concernée. |
| 25.3 – Certification | Un mécanisme de certification approuvé peut servir à démontrer le respect de ces exigences. |
Ce que cela change pour une PME
Poser cinq questions avant chaque projet
Nouveau CRM, refonte du site, application, caméras, outil d’IA : avant de signer, le responsable se demande quelles données sont réellement nécessaires, combien de temps elles seront gardées, qui y aura accès, où elles seront hébergées, et comment les personnes seront informées et pourront exercer leurs droits. Les réponses vont dans le registre et dans le contrat avec le fournisseur.
Vérifier les réglages par défaut de chaque outil
Les éditeurs livrent leurs outils avec des options activées : partage public, géolocalisation, collecte de statistiques, conservation illimitée. La protection par défaut consiste à désactiver ce qui n’est pas nécessaire avant d’ouvrir l’outil aux utilisateurs, et à documenter ces choix. Nos articles techniques sur la gestion des logs, la suppression automatique et le chiffrement détaillent ces réglages.
Limiter l’accès par construction
Un profil utilisateur qui voit tout est un défaut de conception. Les droits d’accès se définissent par rôle, les champs sensibles se masquent pour ceux qui n’en ont pas besoin, et les exports de masse se réservent à quelques personnes.
Exiger le privacy by design des fournisseurs
Un éditeur SaaS ou une agence web qui conçoit pour vous doit appliquer l’article 25 ; le cahier des charges le prévoit, et le contrat de sous-traitance de l’article 28 l’inscrit. Notre page privacy by design s’adresse aux équipes produit qui développent leurs propres outils.
Ce que les autorités ont sanctionné sur ce fondement
| Décision | Montant | Manquement retenu |
|---|---|---|
| TikTok – autorité irlandaise (DPC), 15 septembre 2023 | 345 millions d’euros | Comptes d’enfants réglés par défaut en mode public, ce qui rendait leurs contenus accessibles à tous sans action de leur part : manquement caractérisé à la protection par défaut de l’article 25.2. |
| Amazon France Logistique, 27 décembre 2023 | 32 millions d’euros (toutes causes) | Conception d’un système de surveillance collectant plus de données que nécessaire et les conservant 31 jours : la CNIL retient la minimisation (article 5), principe que l’article 25 impose d’intégrer dès la conception. |
L’article 25 est rarement sanctionné seul ; il apparaît avec la minimisation, la conservation ou la sécurité, dont il est la traduction dans la conception des outils. Un réglage par défaut trop ouvert est le cas type.
Les questions que je pose en audit
- Qui, dans l’entreprise, est consulté sur les données personnelles avant le choix d’un nouvel outil ?
- Pour le dernier outil déployé, quelles options par défaut ont été vérifiées et désactivées ?
- Vos utilisateurs ont-ils des droits différenciés selon leur rôle, ou tout le monde voit-il tout ?
- Vos formulaires demandent-ils des champs facultatifs présentés comme obligatoires ?
- Vos contrats avec les éditeurs et agences mentionnent-ils la protection des données dès la conception ?
- La suppression ou l’anonymisation des données en fin de durée est-elle automatisée ?
Prêt à l’emploi : la fiche de cadrage d’un nouveau projet
| Rubrique | À renseigner avant le lancement |
|---|---|
| Finalité du projet | Une phrase : à quoi sert le traitement |
| Données strictement nécessaires | Liste limitative ; chaque donnée justifiée par la finalité |
| Données exclues | Ce que l’outil propose de collecter et que l’on refuse |
| Durée de conservation et mécanisme de suppression | Durée par type de donnée ; suppression automatique ou procédure |
| Accès | Rôles, droits par rôle, journalisation |
| Hébergement et sous-traitants | Localisation, contrat article 28, sous-traitants ultérieurs |
| Réglages par défaut vérifiés | Liste des options désactivées, date, responsable |
| Information et droits | Mention d’information prévue, procédure d’accès et d’effacement |
| Analyse d’impact | Nécessaire ou non, et pourquoi |
Et en Suisse ?
La nLPD reprend les deux obligations à son article 7 : protection des données dès la conception et par défaut, avec la même logique de réglages préconfigurés au niveau le plus protecteur, sauf indication contraire de la personne. Notre fiche sur l’article 7 nLPD en donne la lecture suisse.
Ce que je constate en mission. La plupart des écarts que je constate en audit ne viennent pas d’une décision de l’entreprise, mais d’un réglage d’usine jamais regardé : un CRM qui garde tout indéfiniment, un formulaire qui exige la date de naissance, un outil de visioconférence qui enregistre par défaut. La protection par défaut, c’est une heure de paramétrage au moment du déploiement, et elle évite des années de données inutiles.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Le privacy by design concerne-t-il une entreprise qui ne développe rien ?
Oui : elle choisit, configure et déploie des outils, et c’est à ce moment que la protection par défaut se joue. L’obligation pèse sur le responsable du traitement, pas seulement sur l’éditeur.
La pseudonymisation est-elle obligatoire ?
Non, elle est citée comme exemple de mesure appropriée. Elle s’impose en pratique dès que des données servent à des analyses, des tests ou des exports sans que l’identité soit nécessaire.
Comment prouver le respect de l’article 25 ?
Par la fiche de cadrage du projet, la liste des réglages vérifiés et, pour les traitements à risque, l’analyse d’impact. Une certification approuvée en est une autre forme.
Intégrer la protection des données à vos projets
Nous accompagnons les éditeurs et les équipes produit en privacy by design, et les PME dans le cadrage de leurs nouveaux outils lors d’un audit RGPD.
Sources
- Règlement (UE) 2016/679
- CNIL – Protection des données dès la conception
- Donneespersonnelles.fr – Décisions DPC sur les mineurs
