Le principe de minimisation impose de limiter le nombre de
données traitées au strict nécessaire mais
également de restreindre leur accès aux seules personnes qui en
ont besoin pour l'accomplissement de la finalité du traitement. L'ENISA
recommande en application du principe de privacy by default de limiter
la quantité de données, l'ampleur du traitement, la durée
de stockage ainsi que l'accessibilité des données au
nécessaire357.
Il convient donc avant la collecte de réfléchir
aux données nécessaires au traitement et de justifier ce choix.
Si l'information n'est pas nécessaire au fonctionnement de l'application
mais permet seulement d'améliorer ses possibilités, l'utilisateur
doit pouvoir choisir d'utiliser ou non cette
fonctionnalité358. Le principe de minimisation impose
également de veiller à ce que la durée de conservation
soit adéquate. Sur ce point, l'EDPB rappelle que les traitements doivent
par défaut ne pas traiter de données à caractère
personnel, ces paramètres pouvant être modifiés tant par
les responsables du traitement que par les personnes
concernées359.
Limiter les accès aux données implique
d'anticiper les accès des utilisateurs en amont du traitement. La CNIL
recommande360 à cet effet d'attribuer des identifiants
propres à chaque utilisateur, de leur imposer une identification, de
prévoir une politique de gestion d'accès aux données
différenciées, de suivre les activités par un
système de journalisation et de prévoir des audits d'intrusion et
des tests de code. La conformité du principe de minimisation impose par
ailleurs de mener une politique de gestion des profils d'habilitation efficace.
Pour cela, il est préconisé de documenter ou d'automatiser les
procédures d'inscription et de désinscription, d'effectuer un
suivi régulier des droits accordés, de restreindre au maximum
l'utilisation des comptes administrateurs pour des opérations simples
ainsi que d'encourager l'usage d'un gestionnaire de mots de passe.
354 CNIL, « Veiller à la qualité de votre
code et sa documentation », 27 janvier 2020
355 Art. 22 RGPD
356 CNIL, les enjeux éthiques des algorithmes et de
l'intelligence artificielle, op. cit., p.45
357 M. Hansen, K. Limniotis, ENISA, recommendations on GDPR
provisions, op cit., p. 22
358 CNIL, «Minimiser les données
collectées», 27 janvier 2020
359 EDPB, Guidelines 4/2019 on Article 25 Data Protection by
Design and by Default, op. cit., p.4
360 CNIL, «Gérer les utilisateurs», 27
janvier 2020
- 63 -
Le régime de lege lata
Lors de l'élaboration du logiciel, la CNIL
préconise361 de réfléchir en amont aux choix
technologiques employés. Il faut tout d'abord évaluer les impacts
de l'architecture et des fonctionnalités proposées. Ce choix doit
intégrer la protection de la vie privée, afin d'être
conforme aux principes de privacy by design et de privacy by
default. Il peut s'agir par exemple, du choix d'une architecture
décentralisée, de sécuriser l'architecture par
défaut, ou de garder la maitrise du système.
