Minimisation des données

Le principe de minimisation est l’un des six principes fondamentaux du RGPD, que sont :

Limitation des finalités ;
Minimisation des données ;
Exactitude ;
Limitation de la conservation ;
Intégrité et confidentialité ;
Responsabilité.

Ce principe traduit le fait que le responsable du traitement ne puisse collecter que des données à caractère personnel qui sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

Les données ne doivent, en tout état de cause, pas être excessives au regard de la finalité de leur traitement.

La minimisation des données dépend donc du traitement concerné, et en particulier de sa finalité.

Le responsable du traitement doit obligatoirement examiner de manière critique si le traitement des données est, d’une part, approprié pour atteindre l’objectif visé et, d’autre part, adéquat et nécessaire à cette fin.

Les données traitées ne doivent alors pas être excessives et être strictement nécessaires à l’accomplissement de la finalité spécifiée, de manière à éviter tout traitement ultérieur éventuel.

La minimisation des données participe ainsi également au principe de protection des données par défaut et par design.

L’anonymisation de données à caractère personnel qui ne sont plus strictement nécessaires eu égard à la finalité initiale de leur traitement peut constituer un moyen pour le responsable du traitement de respecter le principe de minimisation.

Dans un même sens, si les finalités pour lesquelles les données sont traitées n’imposent pas au responsable du traitement d’identifier la personne concernée, ce dernier ne devrait pas chercher à obtenir d’autres informations afin de l’identifier dès lors que cela n’est pas nécessaire au regard de la finalité du traitement.

Point RGPD

« Les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données).»

Article 5 du RGPD

Point jurisprudence

La CNIL a pu retenir que « le numéro de téléphone n’est pas exploité par la société, qui adresse uniquement de la prospection par courriel, ce que la société ne conteste pas. La formation restreinte considère dès lors que le numéro de téléphone n’aurait pas dû être collecté et traité par la société dans le cadre de l’achat des bases de données en 2014 et 2015 et qu’il aurait dû, en tout état de cause, être immédiatement supprimé à réception desdites bases. »

CNIL, 7 décembre 2020, N° SAN-2020-016

Le Cabinet Bouchara vous accompagne notamment dans :

La mise en conformité de votre organisme au RGPD ;
La rédaction de politiques de protection des données (politique de confidentialité, charte informatique…) ;
La documentation de vos traitements (registre des activités de traitement, registre des violations, analyse d’impact relative à la vie privée, consultation préalable…) ;
L’obtention de certifications et l’adhésion à des codes de conduite ;
L’étude de la faisabilité juridique de la mise en œuvre d’un nouveau traitement de données à caractère personnel ;
La rédaction et transmission de vos codes de conduites à la CNIL pour approbation ;
L’analyse juridique de la conformité de vos traitements de données, y compris des transferts de données hors de l’Espace Economique Européen ;
La rédaction et la négociation de vos accords de traitements de données (DPA) ;
La rédaction de vos règles d’entreprises contraignantes (BCR) et codes de conduites ;
La formation et la sensibilisation de vos collaborateurs.