Jusqu’au règlement général sur la protection des données, la conformité d’un traitement se vérifiait a posteriori : on déployait un produit, puis l’on contrôlait que l’usage des données respectait la réglementation. L’article 25 du RGPD opère un renversement de perspective — la protection des données cesse d’être un correctif appliqué après coup pour devenir une contrainte de conception, intégrée au cœur même de l’architecture du traitement. Deux concepts cardinaux portent ce basculement : le privacy by design (protection des données dès la conception) et le privacy by default (protection des données par défaut).
L’enjeu est considérable pour le responsable du traitement. Il ne lui suffit plus de se conformer ponctuellement : il doit démontrer que la protection de la vie privée a été pensée en amont, dès la détermination des moyens du traitement, et qu’elle constitue le réglage par défaut du système, sans que la personne concernée ait à intervenir pour bénéficier du plus haut niveau de protection. Prior tempore, potior jure — c’est l’antériorité de la prise en compte du risque qui fonde la conformité.
Ces deux exigences, énoncées à l’article 25 du RGPD qui les envisage séparément, partagent une même logique préventive mais répondent à des questions distinctes : le privacy by design commande comment concevoir le traitement ; le privacy by default commande quel réglage doit s’appliquer en l’absence de choix exprès. Reste enfin la question de la preuve — comment le responsable établit-il qu’il a satisfait à ces obligations ? L’article 25 y répond en renvoyant aux mécanismes de certification.
Le privacy by design (protection des données dès la conception) désigne l’obligation, pour le responsable du traitement, d’adopter des règles internes et de mettre en œuvre des mesures techniques et organisationnelles respectant les principes de protection des données dès la conception du traitement. Le privacy by default (protection des données par défaut) impose, lui, que les réglages initiaux du système garantissent par défaut, sans intervention de la personne concernée, le plus haut niveau de protection — seules les données strictement nécessaires à chaque finalité étant traitées.
Ces deux concepts sont énoncés à l’article 25 du RGPD qui les envisage séparément.
I) Les mesures prises au titre du privacy by design
L’article 25, 1 du RGPD prévoit que le responsable du traitement doit mettre en œuvre, tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées afin d’assurer un niveau de protection élevé des données à caractère personnel.
Selon le considérant 78, ces mesures techniques et organisationnelles peuvent consister à :
- réduire à un minimum le traitement des données à caractère personnel ;
- pseudonymiser les données à caractère personnel dès que possible ;
- garantir la transparence en ce qui concerne les fonctions et le traitement des données à caractère personnel ;
- permettre à la personne concernée de contrôler le traitement des données ;
- permettre au responsable du traitement de mettre en place des dispositifs de sécurité ou de les améliorer.
L’exigence n’est toutefois pas absolue : elle s’apprécie in concreto. Les mesures techniques et organisationnelles doivent en effet être prises au regard de :
- l’état des connaissances ;
- des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ;
- des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques.
C’est dire que l’obligation est de nature proportionnée : ce qui est exigé d’un traitement de données de santé à grande échelle ne saurait l’être d’un traitement marginal et peu risqué. Le droit à la protection des données doit ainsi être pris en compte dès l’élaboration et la conception des produits, services et applications et, compte dûment tenu de l’état des connaissances, le responsable du traitement comme le sous-traitant doivent s’assurer qu’ils sont en mesure de s’acquitter des obligations qui leur incombent en matière de protection des données.
Une plateforme conçoit un service de prise de rendez-vous médicaux en ligne. Au titre du privacy by design, elle ne se contente pas d’ajouter un mot de passe au moment de la mise en production : dès la phase de conception, elle prévoit la pseudonymisation des identifiants patients, le chiffrement des données de santé, et l’architecture du système est pensée pour ne collecter que le motif du rendez-vous lorsqu’il est strictement utile au praticien. La protection est donc une contrainte de cahier des charges, non un correctif ultérieur.
II) Les mesures prises au titre du privacy by default
L’article 25, 2 du RGPD prévoit que, au titre du privacy by default, le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées.
Cette exigence traduit, au stade des réglages initiaux, le principe de minimisation des données. Elle s’applique à :
- la quantité de données à caractère personnel collectées ;
- l’étendue de leur traitement ;
- leur durée de conservation ;
- leur accessibilité.
En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l’intervention de la personne physique concernée. La logique est ici inversée par rapport aux pratiques antérieures : ce n’est plus à la personne concernée de restreindre l’exposition de ses données — par exemple en décochant des cases ou en fermant des options de partage —, c’est au système d’adopter, en l’absence de choix exprès, la configuration la plus protectrice. Le silence de l’utilisateur profite à sa vie privée, et non à l’exploitation de ses données.
Un réseau social déploie un nouveau profil utilisateur. Au titre du privacy by default, les publications d’un compte nouvellement créé doivent être, par défaut, visibles des seuls contacts de l’intéressé — et non du monde entier. C’est à l’utilisateur qui le souhaite d’élargir activement la visibilité de ses contenus, et non à celui qui l’ignore de subir une exposition maximale faute d’avoir modifié les réglages.
III) La preuve des exigences de privacy by design et de privacy by default
Poser des obligations ne suffit pas : encore faut-il que le responsable du traitement puisse en démontrer le respect, conformément à la logique d’accountability qui irrigue l’ensemble du RGPD. L’article 25, 3 dispose ainsi qu’un mécanisme de certification approuvé en vertu de l’article 42 peut servir d’élément pour démontrer le respect des exigences requises au titre du privacy by design et du privacy by default.
À cet égard, l’article 42 prévoit que les États membres, les autorités de contrôle, le comité et la Commission encouragent, en particulier au niveau de l’Union, la mise en place de mécanismes de certification en matière de protection des données ainsi que de labels et de marques en la matière, aux fins de démontrer que les opérations de traitement effectuées par les responsables du traitement et les sous-traitants respectent le règlement.
La certification n’est toutefois qu’un élément de preuve — et non une présomption irréfragable de conformité : elle facilite la démonstration sans dispenser le responsable du traitement de la réalité de ses obligations. Là réside la cohérence du dispositif : le privacy by design en commande la conception, le privacy by default en fixe le réglage, et la certification en atteste la mise en œuvre.
