Minimisation des données : guide complet RGPD

Vous n’avez pas le droit de collecter des données “au cas où”. La conformité RGPD,  nous impose de pouvoir expliquer chaque champ, chaque durée de conservation et chaque accès. Si on ne peut pas le justifier, on doit le retirer. On appelle cela la minimisation des données.

Que m’impose le concept de minimisation des données ?

• Je définis d’abord la finalité : pourquoi je collecte.
• Je garde seulement les données utiles : pas plus, pas plus précises.
• Je fixe une durée de conservation : puis je supprime ou j’archive.
• Je limite les accès : seules les personnes habilitées voient les données.
• Je garde des preuves : registre, règles internes, journaux de purge, audits.

En pratique, cela veut dire :

• demander l’année de naissance plutôt que la date complète si cela suffit ;
• éviter les champs libres qui font remonter des données sensibles ;
• régler les outils et prestataires avec des paramètres par défaut limités ;
• mettre en place des purges automatiques et des droits d’accès par rôle ;
• revoir régulièrement les formulaires, bases et archives.

Quelques repères simples :

• Le principe vient de l’article 5(1)(c) du RGPD.
• Il fonctionne avec la limitation des finalités et la limitation de la conservation.
• Il touche aussi la conception des outils et la sécurité.
• La CNIL attend une justification documentée avant le lancement d’un traitement.
• En RH, par exemple, des candidatures non retenues ne se gardent pas sans limite ; le guide rappelle le repère de 2 ans après le dernier contact selon le cadre cité.

Nous pouvons résumer tout le sujet en une règle : si la finalité peut être atteinte avec moins de données, je dois choisir cette option.

La suite du guide explique comment passer de ce principe à des règles simples dans le registre, les formulaires, les outils, les archives et les audits.

Cadre juridique : périmètre, tests et liens avec les autres obligations du RGPD

Après le principe, il faut passer au concret, champ par champ.

L’article 5(2) impose au responsable du traitement de prouver, pour chaque catégorie de données et pour chaque finalité, que la collecte est nécessaire.

Le tableau ci-dessous montre, de façon simple, la différence entre les trois principes de l’article 5 :

Comment évaluer si un champ de données est nécessaire ?

Le test de nécessité est assez direct : la finalité peut-elle être atteinte sans ce champ ? Si la réponse est oui, alors le champ est excessif et ne doit pas être collecté. Même logique pour le niveau de précision : si l’année de naissance suffit, demander la date complète n’est pas justifié.

Il faut aussi faire la différence entre ce qui est strictement nécessaire et ce qui est simplement utile. Une donnée peut aider sans être indispensable. Dans ce cas, elle doit rester optionnelle, avec un choix explicite laissé à la personne concernée. Pour les données sensibles, comme les données de santé ou celles liées aux infractions pénales, le raisonnement est encore plus strict : si le traitement peut fonctionner sans elles, elles ne doivent pas être collectées.

Liens avec l’article 25, l’article 32 et les AIPD

Ce test de nécessité ne reste pas sur le papier. Il doit se voir dans la conception du traitement, dans les mesures de sécurité et dans l’analyse des risques.

La minimisation des données s’applique aussi à la conception et à la sécurité. L’article 25 impose la protection des données dès la conception et par défaut : les formulaires, les outils et les systèmes doivent être paramétrés pour ne collecter que le strict minimum, par défaut. La CNIL le formule ainsi :

« Si une technique remplit la même fonction/permet d’atteindre le même résultat avec moins de données personnelles, elle doit être préférée. » – CNIL

L’article 32, qui concerne la sécurité des traitements, profite lui aussi de cette logique : moins de données collectées, c’est moins de matière exposée en cas de violation. Enfin, dans une AIPD, la minimisation des données sert de mesure de réduction des risques. Elle permet de montrer que les risques ont été réduits dès la conception du traitement.

sbb-itb-9879cb5

Mettre en œuvre la minimisation des données : du registre aux paramètres par défaut

Passer du principe à l’action commence avec un document central : le registre des activités de traitement prévu par l’article 30 du RGPD. La CNIL le résume ainsi :

« Le registre est surtout un outil de pilotage de votre conformité au RGPD. Il vous permet de documenter et disposer d’une vue d’ensemble de la manière dont vous traitez vos données. » – CNIL

C’est la base de travail. Il sert à vérifier, champ par champ, ce qui se justifie encore au regard du test de nécessité vu plus haut. Et une fois ce tri fait, il devient l’outil qui aide à retirer ce qui dépasse.

Cartographier les traitements et classer les données collectées permet de questionner la minimisation des données

Pour chaque activité inscrite dans le registre, il faut préciser la finalité, les catégories de données, les destinataires et les durées de conservation. Dit simplement : pourquoi vous collectez, qui reçoit quoi, et pendant combien de temps. Cet exercice permet de repérer les champs en trop, puis de les supprimer.

Ensuite, il faut classer les données selon leur cycle de vie. Une donnée peut avoir un sens à un moment, puis ne plus en avoir ensuite. Un exemple simple : dans un recrutement, certaines informations servent pendant l’examen d’une candidature, mais perdent leur utilité une fois le poste pourvu. Le tableau ci-dessous montre les trois phases à distinguer :

Pour chaque champ du registre, la bonne question est simple : peut-on atteindre la finalité sans cette donnée, ou avec une donnée moins précise ? Si la réponse est oui, le champ est excessif. Cette cartographie sert ensuite à verrouiller les formulaires, les outils et les workflows dès le départ.

Mettre en oeuvre la minimisation des données, c’est appliquer la protection des données par défaut.

Une fois le registre à jour, les choix de conception deviennent plus nets. Il faut limiter autant que possible les zones de saisie libre. Elles ouvrent souvent la porte à la collecte accidentelle de données sensibles qui n’ont rien à faire là.

Même logique pour les fonctions optionnelles. Si une fonction ne sert qu’à une partie des utilisateurs – par exemple la géolocalisation dans une recherche avancée – elle ne doit pas être activée par défaut pour tout le monde.

Ce point vaut aussi pour les outils tiers. Avant d’ajouter un prestataire, il faut vérifier si son paramétrage de départ se limite au strict nécessaire. Si ce n’est pas le cas, il faut le resserrer. Beaucoup d’écarts viennent de là : on installe un outil, on laisse les options par défaut, puis on découvre plus tard qu’il collecte bien plus que prévu.

Répartir les responsabilités entre direction, DPO, juridique, IT et métiers

La minimisation des données ne tient pas sans un pilotage clair. Si tout le monde pense que le sujet appartient au voisin, rien ne bouge. Chaque équipe a donc un rôle précis pour transformer le registre en mesures concrètes :

En clair, la direction donne le cap, le DPO orchestre, le juridique cadre, l’IT met en place, et les équipes métiers doivent expliquer pourquoi chaque donnée demandée est utile. Sans cette répartition, le registre reste un document qu’on remplit une fois… puis qu’on oublie dans un dossier partagé.

Contrôles au quotidien : collecte, conservation, accès et cas d’usage courants de la minimisation des données.

Après la conception, il faut passer aux contrôles du quotidien. C’est là que la minimisation des données prend une forme très concrète. En pratique, elle se joue à trois endroits : la collecte, la conservation et l’accès.

Limiter la collecte et la réutilisation pour une autre finalité

Chaque champ demandé doit avoir une raison claire. S’il ne sert à rien de précis, supprimez-le ou rendez-le facultatif. Même logique pour le format de saisie : mieux vaut une liste fermée qu’un champ libre, et une plage d’âges plutôt qu’une date de naissance exacte.

La réutilisation pour une autre finalité pose souvent problème. Un e-mail donné pour recevoir une newsletter ne peut pas servir, par défaut, à envoyer des offres commerciales. Pour ce nouvel usage, il faut une base propre et un cadre propre.

Les rôles définis par l’organisation doivent aussi se voir dans les outils. Autrement dit, un rôle sur le papier ne suffit pas : il faut des droits d’accès réels et limités.

Fixer les durées de conservation et les règles d’accès par rôle

Une fois la collecte cadrée, la conservation doit suivre la même logique : ne garder que ce qui sert, et pas plus longtemps que prévu.

Pour l’archivage intermédiaire, la séparation doit être physique ou logique. En clair, les équipes opérationnelles ne doivent pas pouvoir ouvrir des dossiers clos sans justification. Il faut aussi aligner les durées internes sur les référentiels sectoriels pertinents.

Pensez aussi au paramétrage : mettez en place des purges automatiques à l’échéance et journalisez-les. Cela permet de garder une preuve de conformité.

Appliquer la minimisation des données en RH, marketing, support et développement

Ces règles d’accès et de durée doivent ensuite être appliquées métier par métier. Le principe reste le même : chaque équipe ne garde que les données utiles, pendant la durée utile.

• RH : supprimez les candidatures non retenues au plus tard deux ans après le dernier contact.
• Marketing : travaillez sur des données agrégées ou masquées.
• Support : fixez une durée de purge pour les tickets et les enregistrements.
• Développement : utilisez des données synthétiques ou anonymisées pour les tests ; n’y mettez jamais de mots de passe ni de données de santé .

Ces réflexes doivent ensuite être documentés et contrôlés dans le cadre d’un accompagnement RGPD régulier.

Documentation, audits et conclusion : prouver la conformité dans la durée

Après avoir limité la collecte et l’accès, il faut encore montrer que ces choix tiennent dans le temps. En clair : il ne suffit pas de bien faire, il faut aussi pouvoir le prouver. Pour démontrer la minimisation, gardez les éléments qui expliquent chaque donnée collectée, chaque durée de conservation et chaque suppression.

Preuves à conserver pour un contrôle CNIL

Conservez la réflexion interne menée avant tout traitement : pourquoi ce champ est-il nécessaire ? Pourquoi ce niveau de précision, et pas un autre ? Cette justification écrite fait partie des pièces majeures du dossier.

Gardez aussi la politique d’archivage, les règles d’accès et les preuves de suppression pour chaque étape du cycle de vie des données.

Voici les quatre familles de preuves à garder :

« Vous devrez être en mesure de  justifier les durées de conservation. » – CNIL

S’aligner sur les référentiels sectoriels de la CNIL rend la justification plus simple, surtout si un écart doit être expliqué.

« Le fait d’appliquer ces durées recommandées constitue une présomption de conformité. » – CNIL

Si vous choisissez une autre durée, notez noir sur blanc la raison de ce choix. Sinon, au moment du contrôle, tout repose sur la mémoire des équipes – et on sait comment ça se passe.

Auditer et améliorer la minimisation des données régulièrement

Ces preuves servent ensuite de point d’appui pour les audits réguliers. Passez en revue les formulaires, les bases de données, les journaux système et les champs libres pour repérer les données en trop ou sensibles, notamment des mots de passe ou des données de santé. Puis comparez ces constats avec le registre des activités de traitement.

Quand vous repérez des données excessives, formalisez un plan correctif. Cela peut passer par une suppression, une pseudonymisation ou une baisse du niveau de détail. Sans trace écrite, le correctif ne se prouve pas.

Points clés à retenir pour garantir la minimisation des données.

Finalité définie, collecte minimale, conservation limitée, accès restreint, preuve documentaire : voilà la chaîne de conformité à tenir dans la durée. La conformité se maintient avec des contrôles périodiques, pas avec un document laissé dans un dossier puis oublié.

FAQs

Comment prouver la nécessité de collecter une donnée ?

Il faut montrer que chaque donnée collectée est strictement nécessaire à un objectif précis, lié au traitement prévu. Autrement dit, elle doit être pertinente, adéquate et limitée à ce qu’il faut pour atteindre cette finalité. Pas plus.

En pratique, le bon réflexe consiste à définir en amont quelles données sont utiles, puis à documenter cette analyse. Chaque champ demandé doit pouvoir être justifié de façon simple : à quoi sert-il, exactement ? Si une information n’a pas d’utilité directe dans le traitement, elle ne doit pas être collectée.

Que risque-t-on en cas de collecte excessive ?

En cas de collecte non justifiée ou illégitime, vous risquez de ne pas respecter le principe de minimisation des données prévu par le RGPD.

Et ce n’est pas un simple détail administratif. Une collecte trop large peut entraîner des sanctions, des amendes, et une perte de confiance de la part des personnes concernées, notamment en cas de perte de ces données pouvant impacter les droits et libertés des citoyens.

Par où commencer pour appliquer la minimisation des données ?

Commencez par un audit des données que vous collectez et stockez pour repérer celles dont vous avez vraiment besoin au regard de vos finalités. Pour cela faites appel à Opt-on, expert français reconnu de l’éthique du digital.

Ensuite, posez des règles de collecte claires. Mettez en place des contrôles d’accès, supprimez ou anonymisez les données inutiles, puis formez vos équipes pour que ces bonnes pratiques deviennent des réflexes au quotidien.