Par Jean-Philippe SOUYRIS et Olivier PREVOST
1. Qu’est-ce que le principe de minimisation des données ?
L’article 5.1.c) du RGPD expose le principe selon lequel « les données à caractère personnel doivent être : […] adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ». Le principe de minimisation est donc une obligation légale qui fait écho au principe de proportionnalité déjà présent au sein de la Loi informatique et liberté de 1978.. Il s’applique désormais à toute personne qui collecte et opère un traitement de données.
2. Comment le principe de minimisation s’applique-t-il ?
Le principe de minimisation implique que le responsable de traitement collecte et traite uniquement les données qui sont nécessaires au traitement. Les données collectées doivent être proportionnées par rapport aux besoins du traitement. Comme l’explique la CNIL, « les informations enregistrées doivent être pertinentes et strictement nécessaires au regard de la finalité du fichier[1] ».
Par exemple, un responsable de traitement peut avoir besoin des coordonnées de ses prospects pour ses opérations de communication, mais s’il ne procède qu’à des newsletters par voie électronique, il n’est pas nécessaire a priori de collecter l’adresse postale des personnes concernées.
Le principe de minimisation doit être pris en compte dès la conception du traitement par le responsable du traitement, et le cas échéant son partenaire coresponsable de traitement[2].
Dans ce cadre il conviendra de tenir compte des recommandations du DPO[3] éventuellement désigné.
[1] https://www.cnil.fr/fr/cnil-direct/question/quels-sont-les-grands-principes-des-regles-de-protection-des-donnees
[2] https://www.haas-avocats.com/data/co-responsables-de-traitements-qui-est-proprietaires-des-donnees/
[3] https://www.avocat-rgpd.com/single-post/2019/03/05/Quest-ce-quun-DPO
