collectées, à l'étendue de leur
traitement, à leur durée de conservation et à leur
accessibilité. En particulier, ces mesures garantissent que, par
défaut, les données à caractère personnel ne sont
pas rendues accessibles à un nombre indéterminé de
personnes physiques sans l'intervention de la personne physique
concernée. »
L'autorité de contrôle anglaise analyse la
protection des données par défaut comme un mécanisme qui
requiert seulement de traiter la donnée nécessaire et pour une
finalité déterminée. Il s'agit donc d'un concept
profondément lié aux principes de minimisation des données
et de limitation des finalités. Autrement dit106 : «
La protection des données par défaut signifie qu'il faut
spécifier la donnée avant de débuter le traitement,
informer de manière appropriée les personnes et ne traiter que
les données dont vous avez besoin pour atteindre votre objectif. Il
n'est pas nécessaire d'adopter une solution de type « par
défaut sans données à caractère personnel ».
Ce que vous devez faire dépend des circonstances de votre traitement et
des risques encourus par les personnes. » Le privacy by
default s'incarne par exemple par le recours à une case
pré-cochée en cas de collecte du consentement.
Conformément au considérant 32 du RGPD, une case
pré-cochée, et encore moins un silence, ne constituent un
consentement licite de la personne concernée pour accepter la politique
de confidentialité et accéder au site internet. Par
conséquent, le fait de prévoir systématiquement des cases
devant être cochées par l'utilisateur lui-même constitue une
mesure de protection des données par défaut. L'Agence
Européenne chargée de la Sécurité des
Réseaux et de l'Information (ENISA) recommande aux
autorités de clarifier leurs attentes sur l'application concrète
du principe de privacy by default107.
Dans le cas des systèmes d'information, l'application
de la protection des données par défaut vise le
paramétrage par défaut, soit le système
préconfiguré. Ce paramétrage est nécessaire afin de
permettre une navigation fluide sans imposer une multitude de choix à
l'utilisateur. Il s'agit donc d'un paramètre en «
opt-in108 », qui s'applique sans le consentement de
l'utilisateur. Néanmoins, le consommateur doit conserver la
possibilité de choisir un autre paramétrage, en «
opt-out109 »110. Le degré de
configuration s'apprécie au cas par cas111. L'ENISA
recommande112 pour garantir ce principe de minimiser la
quantité, l'étendue, la
106 Information Comissioner's Office, «Data protection
by design and default», 2019
107 M. Hansen, K. Limniotis, ENISA, « recommendations on
shaping technology according to GDPR provisions», décembre 2018,
p.6
108 L'avis de l'utilisateur est requis
109 L'avis de l'utilisateur n'est pas requis
110 M. Hansen, K. Limniotis, ENISA, recommendations on GDPR
provisions, op cit., p.11
111 Ibid., p.16
112 Ibid., p.17
