Privacy by design : Définition juridique et Applications

Privacy by design, traduit en français par protection des données dès la conception, désigne l'obligation faite au responsable de traitement d'intégrer les exigences de la protection des données personnelles dans la conception même des outils, traitements et processus, plutôt que de les ajouter a posteriori. L'article 25 paragraphe 1 du Règlement (UE) 2016/679 consacre juridiquement ce principe, qui constitue l'un des apports doctrinaux majeurs du RGPD par rapport au régime antérieur.

L'article 25 paragraphe 2 du RGPD complète cette obligation par le privacy by default (protection des données par défaut), qui impose que les paramètres par défaut des traitements ne couvrent que les données strictement nécessaires aux finalités spécifiques. Ces deux principes constituent les deux faces d'une même exigence de design intégrant la protection des données comme un objectif prioritaire et structurel.

L'enjeu pratique est central. Le respect de ces principes ne peut s'apprécier qu'à travers l'examen des architectures techniques et organisationnelles mises en œuvre par le responsable de traitement. La CNIL et l'EDPB privilégient une approche concrète, fondée sur la documentation des choix de conception, plutôt qu'une approche abstraite limitée aux engagements formels. Cette exigence suppose une intégration de la fonction protection des données dans les processus de développement produit, ce qui constitue un défi opérationnel majeur pour de nombreuses organisations.

Vous souhaitez mettre en œuvre les principes privacy by design ? Le Cabinet Aurore Bonavia accompagne les organisations dans l'intégration des exigences RGPD dès la conception de leurs traitements. → Voir l'accompagnement en droit du numérique

L'obligation de protection des données dès la conception

L'article 25 paragraphe 1 du RGPD pose l'obligation :

« Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée. »

Quatre éléments structurent cette obligation :

• une double temporalité : les mesures doivent être prises au moment de la détermination des moyens du traitement (phase de conception) et au moment du traitement lui-même (phase opérationnelle) ; l'obligation s'étend ainsi sur l'ensemble du cycle de vie du traitement ;
• une proportionnalité au regard de l'état des connaissances techniques, des coûts de mise en œuvre, de la nature du traitement et des risques pour les personnes concernées ; cette proportionnalité permet aux organisations de moduler leurs efforts selon le profil de risque de chaque traitement ;
• une diversité de mesures techniques et organisationnelles, qui doivent assurer effectivement la mise en œuvre des principes du RGPD (minimisation, transparence, exactitude, limitation de la conservation, intégrité-confidentialité) ;
• une finalité de protection des droits de la personne concernée, qui constitue le critère d'évaluation final de l'effectivité des mesures.

L'EDPB a précisé dans ses Lignes directrices 4/2019 sur l'article 25 que cette obligation suppose une démarche proactive du responsable de traitement, qui ne peut se limiter à une conformité réactive aux contrôles ou aux réclamations.

L'obligation de protection des données par défaut

L'article 25 paragraphe 2 du RGPD pose l'obligation complémentaire de privacy by default :

« Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cela s'applique à la quantité de données à caractère personnel collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité. »

Cette obligation impose plusieurs aménagements concrets dans la conception des traitements :

• les formulaires de collecte doivent demander uniquement les données strictement nécessaires aux finalités, les champs facultatifs étant clairement identifiés comme tels ;
• les paramètres par défaut des comptes utilisateurs doivent restreindre la visibilité et le partage des données aux niveaux minimaux ; toute extension doit résulter d'un choix explicite de l'utilisateur ;
• les traitements automatisés doivent purger automatiquement les données obsolètes au-delà de la durée nécessaire à la finalité ;
• les accès aux données doivent être limités par défaut aux personnels strictement nécessaires, avec des mécanismes d'élévation de privilèges contrôlés.

La sanction prononcée le 31 décembre 2021 par la CNIL contre Facebook Ireland (60 millions d'euros) a notamment retenu un manquement aux exigences de privacy by default pour les paramètres par défaut des cookies, qui imposaient un effort disproportionné aux utilisateurs souhaitant refuser leur dépôt. Cette sanction illustre l'importance pratique du privacy by default dans la conception des interfaces utilisateurs.

Les mesures techniques et organisationnelles concrètes

La pratique a forgé un répertoire de mesures concrètes mettant en œuvre les principes privacy by design et privacy by default :

• la pseudonymisation des identifiants directs dans les bases de données opérationnelles, avec conservation séparée des informations supplémentaires ;
• le chiffrement des données au repos (stockage) et en transit (communications réseau), particulièrement pour les catégories sensibles ;
• la séparation des environnements de développement, de test et de production, avec masquage des données personnelles dans les environnements non productifs ;
• la mise en place de contrôles d'accès granulaires fondés sur le besoin d'en connaître (least privilege) ;
• la journalisation des accès et des opérations sensibles, avec conservation des logs pour la traçabilité ;
• les politiques de purge automatique déclenchées à l'expiration des durées de conservation ;
• l'anonymisation ou la suppression des données dans les environnements analytiques et statistiques ;
• la conception modulaire permettant de désactiver facilement certaines collectes ou usages selon les choix de l'utilisateur ;
• l'implémentation de mécanismes de consentement granulaires permettant le retrait sélectif ;
• la formation des équipes de développement et de produit aux exigences de la protection des données.

Ces mesures techniques s'accompagnent de mesures organisationnelles complémentaires : revues de conformité avant lancement de nouveaux produits, intégration du DPO ou du juriste data dans les comités produit, audits réguliers des dispositifs en production, mise à jour de la documentation technique et juridique.

L'articulation avec les analyses d'impact

L'article 35 du RGPD impose au responsable de traitement la réalisation d'une analyse d'impact relative à la protection des données (AIPD) pour les traitements susceptibles d'engendrer un risque élevé. L'AIPD constitue le prolongement opérationnel des principes privacy by design : elle structure une analyse documentée des risques et des mesures de mitigation, qui guide la conception du traitement.

L'articulation entre privacy by design et AIPD est circulaire et complémentaire :

• les principes privacy by design guident la conception initiale du traitement, dans une logique préventive ;
• l'AIPD formalise une analyse de risque structurée, qui peut révéler des risques résiduels nécessitant des mesures complémentaires ;
• les mesures complémentaires identifiées par l'AIPD enrichissent en retour la conception du traitement, dans une boucle d'amélioration continue ;
• la mise à jour de l'AIPD lors des évolutions substantielles du traitement permet de vérifier la pérennité de la conformité au privacy by design.

La CNIL recommande dans ses guides pratiques l'intégration des deux démarches dans un processus unifié de gestion de la conformité, plutôt que leur traitement séparé. Cette approche intégrée évite les redondances et maximise l'efficacité opérationnelle.

Spécificité juridique sur les certifications et les codes de conduite

L'article 25 paragraphe 3 du RGPD prévoit qu'un mécanisme de certification approuvé en vertu de l'article 42 peut servir à démontrer le respect des obligations de privacy by design et privacy by default. Cette possibilité ouvre la voie à la mise en place de schémas de certification sectoriels qui facilitent la démonstration de la conformité.

Plusieurs initiatives sectorielles ont émergé en France et en Europe :

• la certification europrivacy approuvée par l'EDPB en 2022, qui constitue le premier schéma de certification reconnu au niveau européen ;
• les labels CNIL publiés par la Commission française pour des secteurs spécifiques (gouvernance des données, formations DPO) ;
• les codes de conduite sectoriels approuvés par les autorités de contrôle, qui définissent des standards de mise en œuvre du RGPD adaptés aux particularités de chaque secteur.

Ces mécanismes restent complémentaires plutôt qu'alternatifs aux obligations directes du RGPD. La certification ne dispense pas le responsable de traitement de mettre en œuvre concrètement les exigences du règlement, mais elle peut faciliter la démonstration de la conformité en cas de contrôle ou de réclamation. La pratique reste prudente sur la portée juridique exacte des certifications, en l'attente d'une consolidation jurisprudentielle.

L'article 24 paragraphe 3 du RGPD encourage par ailleurs l'application des codes de conduite et la certification comme éléments permettant de démontrer le respect des obligations. La pratique des contrôles CNIL retient ces éléments comme indices favorables sans pour autant les considérer comme suffisants en tant que tels.

Le cabinet Aurore Bonavia se charge de vos enjeux en matière de privacy by design

• l'intégration des principes privacy by design dans vos processus de conception produit ;
• la rédaction des spécifications techniques et fonctionnelles intégrant les exigences RGPD ;
• la mise en place des paramètres par défaut conformes au privacy by default ;
• l'audit des dispositifs existants au regard de l'article 25 du RGPD ;
• la rédaction des analyses d'impact (AIPD) articulées avec la démarche privacy by design ;
• la formation des équipes produit et développement aux exigences de l'article 25 ;
• l'accompagnement vers les certifications europrivacy et les labels sectoriels ;
• la rédaction des codes de conduite sectoriels mettant en œuvre l'article 25 ;
• la défense face aux contrôles CNIL portant sur le respect des obligations privacy by design.

En savoir plus sur l'accompagnement du cabinet : avocat RGPD.

Sources : Règlement (UE) 2016/679 (RGPD) art. 24, art. 25, art. 35, art. 42, EDPB Lignes directrices 4/2019 sur l'article 25 sur la protection des données dès la conception et par défaut, CNIL guide RGPD pour les développeurs, certifications europrivacy, sanction CNIL Facebook Ireland 31 décembre 2021. Fiche mise à jour le 3 mai 2026.