Analyse de nécessité et de proportionnalité (RGPD)

Définition

L'analyse de nécessité et de proportionnalité est une démarche méthodologique, promue notamment par la CNIL, permettant à un responsable de traitement de vérifier que le traitement de données personnelles envisagé est adapté, pertinent et limité à ce qui est nécessaire au regard des finalités poursuivies, conformément aux principes posés par l'article 5 du RGPD. Cette analyse consiste à examiner successivement si la finalité poursuivie est déterminée, explicite et légitime, si le traitement envisagé constitue effectivement un moyen adapté pour l'atteindre, s'il n'existe pas d'alternative moins intrusive pour les droits et libertés des personnes permettant d'atteindre un résultat équivalent, et si les données collectées ainsi que la durée de leur conservation sont strictement proportionnées à cette finalité. Elle constitue un préalable souvent négligé mais essentiel avant même de s'interroger sur la base légale applicable, car un traitement disproportionné ne devient pas licite du simple fait de reposer sur un consentement ou un intérêt légitime mal caractérisé. Cette analyse doit être documentée et régulièrement réévaluée, en particulier lorsque le traitement évolue dans son périmètre ou ses finalités, et constitue également une composante structurante de toute analyse d'impact relative à la protection des données lorsque celle-ci est requise pour un traitement à risque élevé.