O P T - O N

Pour un numérique responsable ...

Qu'est ce que le Privacy by design ?

Qu’est ce que le Privacy by design ?

Le Privacy by Design, c’est penser à la protection des données avant le lancemlent du traitemnt de données à caratère personnel. Pas après. En France et en Europe, ce n’est pas juste une bonne idée : l’article 25 du RGPD l’impose. Et la pression existe : en 2025, la CNIL a prononcé 83 sanctions pour 487 millions d’euros d’amendes.

Si nous devions résumer ce concept essentiel du RGPD en quelques points, nous dirions :

  • By design : ANTICIPER la protection des données dès la conception.
  • By default : PREVOIR des processus protecteur sans compromis.
  • Minimisation : RESTREINDRE les données au strict nécessaire.
  • Gestion des accès: HABILITER les bonnes personnes selon “le besoin d’en connaître”.
  • Gestion du cycle de vie : LIMITER la conservation des données, et EFFACER effectivement.
  • Accountability : DOCUMENTER la conformité pour la démontrer.
  • Amélioration continue : PILOTER le projet et accompagner l’équipe.

Autrement dit : créer un formulaire, une app mobile ou un outil SaaS, les sujets comme le chiffrement, la pseudonymisation, les accès, les permissions désactivées par défaut, la purge des données et les journaux d’audit, doivent être pensés dès la phase de conception, voire la phase de faisabilité du projet.

Voici la différence la plus utile à garder en tête :

PointBy designBy default
IdéeJe construis le système avec des garde-fousJe démarre avec les réglages les plus protecteurs
MomentAvant et pendant la conceptionAu lancement et dans l’usage courant
ExempleChiffrement, hachage, séparation des fluxCases marketing décochées (Opt-in), permissions coupées

Ce cadre repose aussi sur 7 principes : anticiper les risques, protéger par défaut, intégrer la vie privée dans la conception, garder l’usage du service, protéger la donnée sur tout son cycle de vie, rendre les pratiques vérifiables, et laisser à l’utilisateur un vrai choix sans interface trompeuse.

Dans cet article comprenez ce qu’il faut faire, qui doit le faire, et quelle forme ce concept peut prendre dans un service numérique basique.

Base légale : du RGPD à ce qu’il exige concrètement

Privacy by Design vs Privacy by Default : différences clés (RGPD Art. 25)

Privacy by Design vs Privacy by Default : différences clés (RGPD Art. 25)

L’article 25 du RGPD transforme ce concept éthique en obligation légale. En cas de non-respect, le responsable de traitement peut s’exposer à des sanctions RGPD importantes.

Article 25 du RGPD : by design et by default

L’article 25 pose bien deux exigences distinctes. Et elles sont souvent mélangées.

La protection des données dès la conception (by design, article 25.1) impose d’intégrer des mesures techniques et organisationnelles adaptées dès la phase de conception, au moment où les moyens et les objectifs de traitement sont définis. On parle de mesures techniques set organisationnelles qui doivent être adaptées aux risques pour les droits et libertés des personnes concernées. Le principe de protection dès la conception impose une évaluation des riques en amont.

« Le responsable du traitement doit mettre en œuvre les mesures techniques et organisationnelles appropriées, tant au moment de la définition des modalités du traitement qu’au moment du traitement lui-même. » – Article 25, RGPD

La protection des données par défaut (by default, article 25.2) porte par exemple sur ce qui est activé sans intervention de l’utilisateur, ou encore su les formations suivies par les employés qui participent aux traitements des données personnelles. Par défaut, le traitement concerné doit être en totale cohérence avec les objectifs poursuivis. Cela concerne :

  • la quantité de données collectées
  • l’étendue du traitement
  • la durée de conservation
  • les niveaux d’accessibilité
  • la façons dont les données seront détruites ou anonymisées.

Dit simplement, by design concerne la façon dont le système est construit. By default concerne son réglage de départ et tout au long du cycle de vie.

Ce qu’attendent la CNIL et le CEPD en pratique

La CNIL et le Contrôleur européen de la protection des données (CEPD) n’attendent pas de simples promesses de conformité. Elles attendent des preuves. Autrement dit, la conformité doit se voir dans l’architecture, dans les paramètres et même dans la documentation de conception.

Il faut pouvoir expliquer, noir sur blanc, quelles données sont collectées, pour quelle raison, de quelle manière elles sont protégées, combien de temps elles sont gardées et qui peut y accéder. La logique attendue repose notamment sur la minimisation des données, la limitation des finalités, la gestion automatisée des durées de conservation et des paramètres fondés sur un consentement explicite, et non sur une présomption d’accord.

Une AIPD est requise pour les traitements susceptibles d’engendrer un risque élevé afin de documenter les mesures retenues.

Le tableau ci-dessous montre bien l’écart entre ces deux logiques.

Tableau comparatif : by design versus by default

CritèreProtection dès la conception (by design)Protection par défaut (by default)
ObjectifIntégrer la protection dans l’architecture et les flux de traitementGarantir un traitement minimal sans action de l’utilisateur
Moment d’applicationPhase de conception et de spécificationConfiguration initiale et tout au long du cycle de vie
Exemples techniquesPseudonymisation, chiffrement, isolation structurelle, API sécuriséesParamètres privés par défaut, accès limités, opt-in requis
Formulaire de collecteLimiter les champs aux seules données nécessairesSeul l’e-mail est requis, aucun numéro de téléphone n’est demandé par défaut
Application mobilePrévoir la minimisation des données et les protections dès la conceptionPermissions et partage désactivés par défaut, activation sur demande explicite
Outil SaaSMettre en place des contrôles d’isolation entre clients, par exemple via RLSAccès restreints par défaut et conservation limitée
Réglages par défautPrévoir la suppression automatique des données à l’échéance définieCommunications marketing désactivées par défaut, consentement explicite requis

Ces obligations prennent ensuite une forme très concrète dans les choix de conception.

sbb-itb-9879cb5

Les 7 principes du Privacy by Design

Les principes ci-dessous traduisent l’article 25 en choix de conception très concrets. L’idée est simple : collecter moins, mieux protéger les flux et garder une trace claire des arbitrages faits en cours de route. En pratique, ils servent de grille de lecture pour chaque décision produit, technique ou UX.

Principes 1 à 3 : anticipation, protection par défaut et protection intégrée à la conception

Le premier principe – anticiper les risques avant qu’ils n’apparaissent – consiste à limiter les données au strict nécessaire dès la phase de cadrage, avant même d’écrire une ligne de code. En clair, il faut se poser les bonnes questions tout de suite : quelles données sont utiles, peut-on atteindre l’objectif avec moins, et que deviennent ces données une fois qu’elles ne servent plus ? Il s’agit d’ébaucher le cycle de vie des données, ce qui permettra l’identification des différents irsques au fil du temps.

Le deuxième principe – protection par défaut – impose d’appliquer automatiquement les réglages les plus protecteurs, sans demander un effort en plus à l’utilisateur par exemple. Cela passe, par une collecte minimale, mais  aussi par une totale transparence au yeux de la personne concernée, et un consentement recueilli dans les règles de l’art.

Le troisième principe – la protection intégrée à la conception – veut dire que la vie privée ne doit pas être un ajout de dernière minute. Elle doit faire partie de l’architecture elle-même. Concrètement, cela doit prendre la forme d’une gestion de projet intégrant une rèelle expertise en protection de la donnée personnelle.

Mais la logique ne s’arrête pas à la minimisation. Un service doit aussi conserver sa sécurité, son utilité et sa transparence.

Principes 4 à 6 : fonctionnalité sans compromis, sécurité sur tout le cycle de vie et transparence vérifiable

Le quatrième principe – fonctionnalité sans compromis – rappelle qu’il ne faut pas mettre d’un côté la performance métier et de l’autre la protection des données. Les deux doivent aller ensemble. Par exemple, l’analytique côté serveur peut fournir des métriques utiles sans suivi intrusif côté client.

Le cinquième principe – sécurité sur l’ensemble du cycle de vie – couvre la donnée depuis sa collecte jusqu’à sa suppression. Cela suppose un chiffrement au repos, un chiffrement en transit et une suppression automatique à échéance.

Le sixième principe – transparence vérifiable – demande que les pratiques puissent être contrôlées dans les faits, pas seulement annoncées dans une politique de confidentialité. Cela passe par des outils d’export et de suppression qui fonctionnent pour de bon, ainsi que par des journaux d’audit non modifiables.

À ce stade, il reste un point souvent très visible dans les services numériques : la façon dont l’interface laisse – ou non – un vrai choix à l’utilisateur.

Principe 7 : placer l’utilisateur au centre

Le septième principe est souvent le plus visible pour l’utilisateur final, et pourtant l’un des plus souvent oubliés dans les services numériques. Il s’agit de concevoir des expériences qui respectent les intérêts des personnes, sans recourir à des interfaces trompeuses (dark patterns). Ces mécanismes peuvent pousser l’utilisateur à partager plus de données qu’il ne le souhaite, ou a acheter un service non désiré par exemple.

Concrètement, cela veut dire :

  • des paramètres de confidentialité simples à trouver ;
  • des consentements granulaires ;
  • un accès direct aux droits d’accès, de rectification et de suppression.
  • aucune dégradation visuelle visant à rendre moins visible ou compréhensible une information.

Une interface claire réduit les frictions, les erreurs de consentement et les risques de non-conformité RGPD.

Ces principes se retrouvent ensuite dans des choix très concrets de collecte, de réglage et de sécurité.

Comment appliquer le Privacy by Design dans des projets concrets

Après les principes, passons au terrain.

Exemples concrets : formulaire lead, application mobile, outil SaaS et paramètres par défaut

Voici à quoi cela ressemble dans quatre cas très courants.

Dans un formulaire de leads, l’idée est simple : ne demander que le minimum. Un e-mail ou un identifiant peut suffire. Au lieu de demander une date de naissance complète, une case « J’ai plus de 18 ans » fait souvent le travail. Et la case marketing ? Elle reste décochée par défaut.

Pour une application mobile, même logique. Les permissions comme la localisation, la caméra ou l’accès aux contacts restent désactivées au départ. Elles ne s’activent que si la fonction en a besoin. Les adresses IP peuvent être tronquées dans les journaux. Et, quand c’est faisable, le traitement reste sur l’appareil au lieu de partir vers un serveur.

Dans un outil SaaS multi-clients, la séparation des données entre clients ne doit pas dépendre d’un simple réflexe de développement. Elle peut s’appuyer sur la sécurité au niveau des lignes, ou RLS, dans la base de données. Cela réduit le risque qu’un oubli dans le code expose des données d’un autre client.

Pour les données sensibles, comme un IBAN ou un numéro de sécurité sociale, le chiffrement peut se faire au niveau du champ, avec des clés gardées dans un gestionnaire dédié. Et si une personne demande la suppression de ses données, il ne s’agit pas juste d’ajouter un drapeau “supprimé”. Il faut une suppression physique dans les tables, les sauvegardes et chez les sous-traitants. La conformité doit se voir dans le code, dans les accès et dans la suppression réelle des données.

Comment appliquer le Privacy by Design sur tout le cycle de vie de la donnée

Ces choix doivent rester alignés du début à la fin, de la collecte jusqu’à la suppression.

Étape du cycle de viePoint de contrôle Privacy by DesignExemple technique
CollecteMinimisation des donnéesTronquer les adresses IP
StockageIsolation multi-clientsRLS sous PostgreSQL
AccèsTraçabilité et responsabilitéJournaux d’audit horodatés et non modifiables
ConservationSuppression automatiséePurge automatisée des logs après 30 jours
SuppressionSuppression effectiveDELETE physique + purge des sauvegardes + appels aux sous-traitants

Un point compte plus qu’on ne le croit : définir la durée de conservation dès le modèle de données. Si ce sujet arrive trop tard, la purge finit souvent en tâche manuelle, donc mal faite, oubliée ou encore simplement non réalisée par les opérationnels. Le bon réflexe consiste à prévoir la conservation dès le départ, puis à automatiser la purge.

Checklist : les signes qu’un projet suit le Privacy by Design

Quelques signaux ne trompent pas :

  • La finalité du traitement est définie avant d’écrire la moindre ligne de code.
  • Les champs non requis ont été retirés des formulaires et des modèles de données.
  • Les paramètres de confidentialité les plus protecteurs sont actifs par défaut, sans action de l’utilisateur.
  • Les durées de conservation sont documentées et la suppression est automatisée.
  • Les contrôles de sécurité, comme le chiffrement, le MFA et les journaux d’audit, sont prévus dès la phase de conception, pas ajoutés à la fin.
  • Le DPO ou l’équipe conformité est impliqué dès le cadrage pour décider d’une AIPD. Notons qu’une démarche de protection dès la conception représente les premières étapes d’une analyse de risques. L’initier pert donc de réduire les coûts de la conformité.

À qui s’adresse le Privacy by Design et ce qu’il faut retenir

Rôles et responsabilités : produit, IT, conformité et DPO

Le Privacy by Design ne se gère pas en solo. Il se décide à plusieurs, dès le cadrage du projet, puis se traduit en tâches claires pour chaque équipe.

ÉquipeContribution principale
ProduitDéfinit les données strictement nécessaires, conçoit les parcours utilisateurs et évite les interfaces qui poussent à partager plus que nécessaire
IT / DéveloppementImplémente le chiffrement au repos et en transit, l’isolation multi-clients (RLS), l’authentification multifacteur (MFA) et les pipelines de suppression automatisée
JuridiqueIdentifie la base légale de chaque traitement, vérifie les contrats avec les sous-traitants et suit les évolutions réglementaires
DPOÉvalue les risques, arbitre et recommande une AIPD si nécessaire

On retrouve cette répartition dans les choix déjà évoqués pour les formulaires, les applications mobiles et les outils SaaS. Et ce n’est pas réservé au lancement d’un produit.

Cette façon de faire vaut :

  • au moment du cadrage,
  • lors d’une refonte,
  • à chaque changement de traitement.

Pourquoi ? Parce que c’est souvent à ces étapes-là que les arbitrages de conformité coûtent le moins cher à corriger. Plus on attend, plus la facture grimpe – en temps, en charge côté équipes et en risque juridique.

Points essentiels à retenir et prochaines étapes

Le point clé est simple : le Privacy by Design fait de la protection des données un choix de conception, puis un choix d’exploitation. L’article 25 du RGPD en fait une obligation légale, et les 7 principes donnent un cadre concret pour passer du principe à l’exécution.

Dans les faits, cette démarche limite surtout :

  • la collecte inutile,
  • les corrections faites trop tard,
  • les écarts de conformité.

Ce sujet ne se juge pas sur une intention. Il se voit dans le service numérique, dans la documentation et dans les règles de suppression. Autrement dit, il faut des décisions tangibles, pas juste une politique interne rangée dans un dossier.

Pour passer à l’action, commencez par un audit de confidentialité afin de repérer les écarts les plus urgents. Formalisez ensuite les décisions de conception et les évaluations de risque. Puis mettez en place des revues régulières – par exemple tous les trimestres – pour garder le même niveau de protection dans le temps.

Une fois les rôles clarifiés, il reste à traduire ces choix en règles de projet.

FAQs

Quand faut-il lancer le Privacy by Design ?

Le Privacy by Design doit démarrer dès le tout début du projet. Autrement dit, il entre en jeu au moment de la conception et de la définition des besoins, avant le moindre développement ou la mise en production.

Dans les faits, cela se joue dès la phase des exigences. Il faut intégrer les contraintes de confidentialité dans les spécifications, repérer les données qui seront traitées et préciser leur base légale. Le but est simple : ne pas traiter la vie privée comme un ajout de dernière minute.

Ajouté après coup, le sujet arrive trop tard. Et s’il est repoussé à la revue de conformité, on finit souvent par corriger dans l’urgence ce qui aurait dû être pensé au départ.

Le Privacy by Design est-il obligatoire pour tous les projets ?

Oui. Pour tout projet qui traite des données personnelles, le Privacy by Design est une obligation prévue par l’article 25 du RGPD.

Concrètement, cela veut dire une chose simple : la protection des données ne se rajoute pas à la fin. Elle doit être pensée dès la conception du projet, puis appliquée pendant tout le cycle de vie des données.

Cela passe par des mesures techniques et organisationnelles appropriées pour garantir leur sécurité et leur confidentialité.

Comment prouver qu’un projet respecte le Privacy by Design ?

Il faut montrer une démarche anticipée et documentée. Gardez un registre des traitements, les analyses d’impact quand elles s’imposent, ainsi qu’une trace des choix faits dès la conception pour protéger les données.

Il faut aussi prouver que ces principes sont appliqués dans les faits, pas juste sur le papier :

  • des paramètres protecteurs activés par défaut ;
  • des choix techniques justifiés ;
  • un contrôle simple des utilisateurs sur leurs données.

Impliquez le DPO et mettez cette documentation à jour de façon régulière.