Privacy by design

L’idée a été popularisée par Ann Cavoukian lorsqu’elle était commissaire à l’information et à la protection de la vie privée de l’Ontario, et le RGPD l’a inscrite dans la loi. L’article 25, paragraphe 1 impose au responsable de traitement, tant au moment de déterminer les moyens du traitement qu’au moment du traitement lui-même, de mettre en œuvre des mesures techniques et organisationnelles appropriées, comme la pseudonymisation, destinées à appliquer les principes de protection des données, dont la minimisation des données. L’article 25, paragraphe 2 exige que, par défaut, seules les données personnelles nécessaires à chaque finalité spécifique soient traitées, qu’il s’agisse de la quantité collectée, de l’étendue du traitement, de la durée de conservation ou de l’accessibilité. Les lignes directrices 4/2019 du CEPD (Comité européen de la protection des données) expliquent comment l’appliquer.

Le consentement aux cookies en est l’une des applications les plus claires. Un bandeau conçu pour protéger par défaut a toutes ses catégories optionnelles désactivées, ne charge aucun traceur avant le choix, et stocke l’identifiant le plus court qui fasse l’affaire. Un site conçu pour la vie privée charge les polices et les scripts depuis son propre domaine quand il le peut, choisit une mesure d’audience configurée pour collecter moins, fixe des durées de vie de cookies courtes, et conserve la preuve du consentement sans l’adresse IP complète.

L’article 25 a son propre plafond d’amende au titre de l’article 83, paragraphe 4, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, et les autorités le citent souvent à côté d’autres manquements. La page RGPD couvre le reste des obligations du responsable de traitement, et le consentement granulaire montre en pratique la règle de la désactivation par défaut.