RGPD Article 25 (Privacy by Design)

Définition

L'article 25 du RGPD, intitulé Protection des données dès la conception et protection des données par défaut, impose au responsable de traitement d'intégrer les principes de protection des données personnelles dès la phase de conception d'un système, d'un produit ou d'un service, plutôt que d'ajouter des mesures de sécurité et de confidentialité a posteriori une fois le traitement déjà opérationnel, une exigence connue sous le terme privacy by design popularisé par les travaux d'Ann Cavoukian. Le texte se décompose en deux obligations complémentaires : la protection des données dès la conception, qui exige la mise en œuvre de mesures techniques et organisationnelles appropriées, comme la pseudonymisation ou la minimisation des données, dès le stade de la définition des moyens de traitement, en tenant compte de l'état de l'art, du coût de mise en œuvre et des risques pour les personnes concernées ; et la protection des données par défaut, qui impose que les paramètres par défaut d'un service garantissent le niveau de protection le plus élevé, en ne collectant et en ne conservant que les données strictement nécessaires à la finalité poursuivie, sans nécessiter d'action volontaire de l'utilisateur pour restreindre la collecte. Cette exigence rejoint la démarche de threat modeling en conception et constitue un point de contrôle systématique lors des analyses d'impact relatives à la protection des données (AIPD).