arrow_back Retour à tous les articles

Article 25
Protection des données dès la conception et protection des données par défaut

Textes officiels D'où vient-on ? Où va-t-on ? Difficultés probables
Afficher les considérants du Règlement liés à l'article 25 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 25 keyboard_arrow_up

(78) La protection des droits et libertés des personnes physiques à l'égard du traitement des données à caractère personnel exige l'adoption de mesures techniques et organisationnelles appropriées pour garantir que les exigences du présent règlement sont respectées. Afin d'être en mesure de démontrer qu’il respecte le présent règlement, le responsable du traitement devrait adopter des règles internes et mettre en oeuvre des mesures qui respectent, en particulier, les principes de protection des données dès la conception et de protection des données par défaut. Ces mesures pourraient consister, entre autres, à réduire à un minimum le traitement des données à caractère personnel, à pseudonymiser les données à caractère personnel dès que possible, à garantir la transparence en ce qui concerne les fonctions et le traitement des données à caractère personnel, à permettre à la personne concernée de contrôler le traitement des données, à permettre au responsable du traitement de mettre en place des dispositifs de sécurité ou de les améliorer. Lors de l'élaboration, de la conception, de la sélection et de l'utilisation d'applications, de services et de produits qui reposent sur le traitement de données à caractère personnel ou traitent des données à caractère personnel pour remplir leurs fonctions, il convient d'inciter les fabricants de produits, les prestataires de services et les producteurs d'applications à prendre en compte le droit à la protection des données lors de l'élaboration et de la conception de tels produits, services et applications et, compte dûment tenu de l'état des connaissances, à s'assurer que les responsables du traitement et les sous-traitants sont en mesure de s'acquitter des obligations qui leur incombent en matière de protection des données.Les principes de protection des données dès la conception et de protection des données par défaut devraient également être pris en considération dans le cadre des marchés publics.

Il n'y pas de considérant de la Directive 95/46 lié à l'article 25.

Guidelines

Ici viendront les guidelines

D'où vient-on ?

Aucune disposition de la Directive ne porte spécifiquement sur la protection des données dès la conception et de la protection des données par défaut.

Où va-t-on ?

L'article 25 définit les obligations du responsable du traitement qui découlent des principes de protection des données dès la conception et de protection des données par défaut.

L’objectif du législateur européen est de rendre plus effectif et plus dynamique la protection des droits fondamentaux, en renforçant les principes classiques de nécessité, de proportionnalité, de finalité et de transparence avec de nouveaux principes comme la protection dès la conception (data protection by design cfr. article 25, paragraphe 1er) et protection par défaut (data protection by default cfr. article 25, paragraphe 2).

L’objectif de ces principes est de prendre en compte les droits et les intérêts des individus dès la conception du traitement de données et des paramétrages par défaut.

Selon le paragraphe 1er de l’article 25, le principe de data protection by design oblige le responsable du traitement à prendre des mesures et procédures techniques et organisationnelles appropriées – tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même- afin de le rendre conforme au Règlement, compte tenu des risques du traitement.  

Les mesures à adopter doivent tenir compte des techniques disponibles, des coûts liés à leur mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement comme de la probabilité et de la gravité du risque présenté par le traitement au regard des droits et des libertés des personnes physiques.

Parmi ces mesures, le paragraphe 1er cite la minimisation et la pseudonymisation. La notion de pseudonymisation doit être entendue comme « le traitement de données à caractère personnel de telle façon qu'elles ne puissent plus être attribuées à une personne concernée sans avoir recours à des informations supplémentaires, pour autant que celles-ci soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir cette non-attribution à une personne identifiée ou identifiable » (art. 4, 5). En revanche, la notion de minimisation ne fait l’objet d’aucune définition dans le Règlement mais est explicitée à l’article 5c.

En vertu de ce principe, de nouvelles techniques innovantes et responsables doivent être développées pour faciliter l’exercice des droits individuels d’opposition, d’accès, d’opt-out, de correction et du droit à la portabilité des données (cfr. EDPS, Opinion 7/2015 du 19 novembre 2015, p. 14 et suivants).

Le second paragraphe aborde le principe de data protection par default. Il oblige le responsable à adopter des mesures consistant à limiter par défaut le traitement de données à caractère personnel à ce qui est strictement nécessaire, en ce qui concerne la quantité de données traitées, leur accessibilité et à leur période de conservation. Ainsi, lorsque le traitement n’a pas pour finalité de fournir des informations au public, le principe de protection par défaut impose d’adopter des mécanismes garantissant que par défaut, les données sont rendues inaccessibles à un nombre indéterminé de personnes physiques, sans intervention de la personne concernée. Il s’agit en réalité d’une application stricte du principe de nécessité déjà contenu dans le principe de finalité lui-même.

Enfin, l’article 25, en son 3e paragraphe, prévoit in fine que le responsable de traitement peut avoir recours à un mécanisme de certification approuvé conformément à l'article 42 afin de démontrer le respect des obligations susmentionnées.

Difficultés probables

Les deux nouveaux devoirs de data protection by design and default poseront difficultés dans l’implémentation en ce qu’ils impliquent une prise en compte de la protection des données à tous les niveaux de processus -et à tous les métiers participants audit processus- de traitement. Ils imposent pour être correctement mis en œuvre une étroite collaboration entre différents métiers au sein de l’organisation du responsable du traitement et une sensibilisation, voire un véritable enseignement de chacun aux principes en cause : les métiers techniques des data (programmeurs, analystes, statisticiens, etc.), les métiers du legal et de la compliance et, le cas échéant, d’autres métiers opérationnels (marketing, etc.). Des processus spécifiques de contrôle devront être mis en place dès la conception d’un projet data.

La difficulté est d’autant plus ardue que l’on est face à des appréciations délicates (principes de nécessité, prise en considération du risque, etc.) qui exigent en réalité un savoir-faire et une pratique de longue date.

Règlement
1e 2e

Art. 25

1. Compte tenu de l'état des connaissances, des coûts de mise en oeuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en oeuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en oeuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée.

2. Le responsable du traitement met en oeuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cela s'applique à la quantité de données à caractère personnel collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l'intervention de la personne physique concernée.

3. Un mécanisme de certification approuvé en vertu de l'article 42 peut servir d'élément attestant du respect des exigences énoncées aux paragraphes 1 et 2 du présent article.

Proposition 1 close

1. Compte étant tenu des techniques les plus récentes et des coûts liés à leur mise en œuvre, le responsable du traitement applique, tant lors de la définition des moyens de traitement que lors du traitement proprement dit, les mesures et procédures techniques et organisationnelles appropriées de manière à ce que le traitement soit conforme aux prescriptions du présent règlement et garantisse la protection des droits de la personne concernée.

 2. Le responsable du traitement met en œuvre des mécanismes visant à garantir que, par défaut, seules seront traitées les données à caractère personnel nécessaires à chaque finalité spécifique du traitement, ces données n'étant, en particulier, pas collectées ou conservées au-delà du minimum nécessaire à ces finalités, pour ce qui est tant de la quantité de données que de la durée de leur conservation. En particulier, ces mécanismes garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques.

3. La Commission est habilitée à adopter des actes délégués en conformité avec l’article 86, aux fins de préciser d'éventuels critères et exigences supplémentaires applicables aux mesures appropriées et aux mécanismes visés aux paragraphes 1 et 2, en ce qui concerne notamment les exigences en matière de protection des données dès la conception applicables à l’ensemble des secteurs, produits et services.

4. La Commission peut définir des normes techniques pour les exigences fixées aux paragraphes 1 et 2. Les actes d'exécution correspondants sont adoptés conformément à la procédure d'examen prévue à l'article 87, paragraphe 2.

Proposition 2 close

1. (...) Compte tenu des techniques disponibles et des coûts liés à leur mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement ainsi que de la probabilité et de la gravité du risque présenté par le traitement au regard des droits et des libertés des personnes physiques, les responsables du traitement appliquent (…) des mesures techniques et organisationnelles appropriées pour l'activité de traitement menée et ses objectifs, notamment la minimisation et la pseudonymisation, de manière à ce que le traitement soit conforme aux prescriptions du présent règlement et (…) assure la protection des droits de la personne concernée.

2. Le responsable du traitement met en œuvre les mesures appropriées pour garantir que, par défaut, seules (…) les données à caractère personnel (…) qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées; cela s'applique à la quantité de (…) données collectées, à l'étendue de leur traitement, à leur période de conservation et à leur accessibilité. Lorsque le traitement n'a pas pour finalité de fournir des informations au public, ces mécanismes garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques, sans intervention humaine.

2 bis. Un mécanisme de certification approuvé conformément à l'article 39 peut être utilisé comme moyen de démontrer le respect des exigences visées aux paragraphes 1 et 2.

3. (…)

4. (…)

Directive

Aucune disposition correspondante

France

Aucune disposition correspondante

Belgique

Aucune disposition correspondante

Ulys logo

Cabinet d’avocats moderne et humain,
au service de la création et de l’innovation

En savoir plus
Droit & Technologies logo white

Depuis 1997, le Portail du Droit des Technologies
Retrouvez-y les derniers actualités et des dossiers exclusifs.

En savoir plus
close

En poursuivant votre navigation sur notre site, vous acceptez l’utilisation de cookies afin de nous permettre d’améliorer votre expérience utilisateur. En savoir plus

OK