Principes fondamentaux du traitement (licéité, loyauté, transparence, minimisation, exactitude, limitation de conservation, intégrité et confidentialité, responsabilité)
Ce domaine vérifie que vous savez traduire l'article 5 du RGPD en conséquences opérationnelles : chaque principe produit des obligations contrôlables et des manquements typiques.
Les sept principes et leur traduction
- Licéité, loyauté, transparence : une base légale identifiée pour chaque finalité, et une information effective (art. 12 à 14).
- Limitation des finalités : la finalité commande la base légale, la durée, les destinataires ; toute réutilisation doit être justifiée comme compatible (art. 6, § 4).
- Minimisation : données adéquates, pertinentes et limitées au nécessaire - un champ « date de naissance » dans une newsletter est indéfendable.
- Exactitude : données à jour, rectification organisée.
- Limitation de la conservation : durées définies a priori, archivage intermédiaire, purge automatisée.
- Intégrité et confidentialité : renvoi à l'article 32.
- Responsabilité (accountability) : pouvoir prouver la conformité, pas seulement l'affirmer.
Exemple raisonné
Un e-commerce conserve indéfiniment les coordonnées de prospects n'ayant jamais acheté. Raisonnement : la finalité est la prospection ; la CNIL retient une durée de trois ans à compter du dernier contact ; l'absence de durée définie viole la limitation de conservation ; le choix de la base légale (intérêt légitime ou consentement) ne corrige pas ce manquement. Correction : purge automatique à trois ans, information des personnes, opposition présente à chaque message.
Pièges à éviter
- Confondre pseudonymisation et anonymisation : des données pseudonymisées restent personnelles.
- Présenter le consentement comme « le » principe de base : c'est une base légale parmi six.
- Réduire la minimisation au volume : elle porte aussi sur la granularité, la durée et les destinataires.
- Affirmer la compatibilité d'une réutilisation sans démonstration documentée.
- Oublier que la charge de la preuve de la conformité pèse sur le responsable.