Principe de proportionnalité RGPD

Le principe de proportionnalité constitue l’un des piliers fondamentaux du droit des données personnelles. Consacré à l’article 5(1)© du RGPD, il impose que les données collectées soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». C’est un principe dont la violation est régulièrement sanctionnée par la CNIL — souvent pour des montants significatifs.

 

Le cadre juridique du principe de proportionnalité

Le principe de proportionnalité a une double filiation juridique en droit français. Il trouvait sa source originelle à l’article 6-3° de la loi informatique et libertés du 6 janvier 1978, qui imposait que les données soient « adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ». Le RGPD a renforcé cette exigence en substituant à la notion de données « non excessives » celle de données « limitées à ce qui est nécessaire » — un standard manifestement plus contraignant.

Cette évolution terminologique n’est pas anodine. Sous l’empire de la loi de 1978, il suffisait de démontrer que la collecte n’était pas excessive. Depuis le RGPD, le responsable de traitement doit prouver que chaque donnée collectée est véritablement nécessaire à la finalité poursuivie. L’approche est passée d’une logique de contrôle négatif (pas d’excès) à une logique de justification positive (nécessité démontrée).

Concrètement, l’article 5(1)© impose trois critères cumulatifs. Les données doivent être :

• Adéquates — en rapport avec la finalité poursuivie
• Pertinentes — utiles à l’objectif du traitement
• Limitées au nécessaire — chaque donnée collectée doit pouvoir être justifiée

Cette exigence s’inscrit dans un cadre plus large. Elle est indissociable du principe de finalité puisque c’est précisément la finalité déclarée qui sert de référentiel pour évaluer si les données sont proportionnées. Elle est également liée à la durée de conservation : des données initialement proportionnées peuvent devenir disproportionnées si elles sont conservées au-delà du nécessaire.

Comment évaluer la proportionnalité d’un traitement

L’évaluation de la proportionnalité exige un raisonnement en trois temps, que tout responsable de traitement devrait documenter — idéalement dans son registre des activités de traitement.

Le test de nécessité

Pour chaque catégorie de données collectées, la question fondamentale est : cette donnée est-elle réellement nécessaire pour atteindre la finalité déclarée ? Si la finalité peut être atteinte sans cette donnée, sa collecte est disproportionnée.

Dans mon expérience de conseil, c’est souvent là que les organisations échouent. Les formulaires de collecte incluent des champs « au cas où », les bases de données conservent des colonnes historiques que personne n’utilise plus, et les processus métier accumulent des données par habitude plutôt que par nécessité.

Prenons un exemple concret : un site e-commerce qui collecte la date de naissance de ses clients pour leur envoyer une offre d’anniversaire. Si cette fonctionnalité n’existe pas ou n’est pas activée, la collecte de la date de naissance est disproportionnée au regard de la finalité de gestion des commandes. En revanche, si le programme d’anniversaire est effectivement en place et utilisé, la collecte se justifie — à condition que le client en soit informé et que la base légale soit appropriée.

Le test de pertinence

Une donnée peut être liée à la finalité sans pour autant être pertinente. La pertinence impose un lien direct et opérationnel entre la donnée et l’objectif poursuivi. Ce n’est pas parce qu’une information « pourrait servir » qu’elle est pertinente au sens du RGPD.

Le test d’adéquation

L’adéquation vérifie que les données collectées sont en rapport avec la nature du traitement. Un traitement de gestion de la paie justifie la collecte du numéro de sécurité sociale ; un traitement de newsletter ne le justifie pas.

La jurisprudence sur le principe de proportionnalité

Les affaires historiques : la biométrie comme terrain d’épreuve

Le contentieux de la proportionnalité s’est d’abord cristallisé autour des dispositifs biométriques, terrain naturel d’application de ce principe en raison de la sensibilité particulière de ces données.

Dès l’année 2000, la CNIL refusait d’autoriser un projet de contrôle d’accès biométrique du personnel de l’Académie de Lille par reconnaissance des empreintes digitales. L’objectif — assurer la fluidité de l’entrée du personnel — « ne paraissait pas justifier, dans sa généralité, la constitution d’une base de données d’empreintes digitales de l’ensemble du personnel de la cité académique ».

Le TGI de Paris a confirmé cette approche dans un jugement du 19 avril 2005, interdisant à la société Effia Services un système de badgeage par empreintes digitales des salariés travaillant dans les gares SNCF. Le tribunal estimait que « le traitement pris dans son ensemble n’apparaissait ni adapté ni proportionné au but recherché ».

Ces décisions fondatrices ont posé un cadre d’analyse qui reste pertinent : plus les données sont sensibles, plus le niveau d’exigence en matière de proportionnalité est élevé. C’est un point que le RGPD a formalisé avec la catégorie des données sensibles à l’article 9.

Le contrôle du juge administratif

Le Conseil d’État exerce un contrôle de l’erreur manifeste d’appréciation sur les décisions de la CNIL en matière de proportionnalité. Un arrêt significatif du 23 mai 2007 a ainsi annulé plusieurs décisions par lesquelles la CNIL avait refusé d’autoriser des dispositifs de détection automatique de reproductions illicites d’œuvres sur Internet. Le Conseil d’État estimait que la CNIL avait commis une erreur d’appréciation dans son évaluation de la proportionnalité du traitement au regard de la finalité de protection du droit d’auteur.

Cet arrêt rappelle que l’appréciation de la proportionnalité n’est pas un pouvoir discrétionnaire absolu : elle doit être motivée et peut être contrôlée par le juge.

Les sanctions récentes de la CNIL

La CNIL sanctionne régulièrement les manquements au principe de proportionnalité, et les montants peuvent être considérables.

Amazon France Logistique — 32 millions d’euros (2024). La CNIL a sanctionné Amazon pour la mise en place d’un système de surveillance des salariés dans ses entrepôts utilisant des scanners enregistrant en temps réel l’activité des préparateurs de commandes. La formation restreinte a estimé que plusieurs indicateurs de performance collectés étaient disproportionnés, notamment le suivi du temps d’inactivité seconde par seconde et les alertes en cas de « scanning trop rapide ». Le volume et la granularité des données collectées excédaient ce qui était nécessaire pour la gestion de l’activité logistique.

Clearview AI — 20 millions d’euros (2022). La collecte massive et indiscriminée de photographies sur Internet pour alimenter un système de reconnaissance faciale constituait, selon la CNIL, une violation manifeste du principe de minimisation. La totalité du modèle économique reposait sur une collecte disproportionnée.

RATP — 400 000 euros (2021). La CNIL a sanctionné la RATP pour avoir utilisé le nombre de jours de grève des agents comme critère dans les dossiers d’avancement. Cette donnée, manifestement disproportionnée au regard de la finalité de gestion des carrières, n’avait aucun lien avec l’évaluation professionnelle des agents.

Ces décisions illustrent un point essentiel : le principe de proportionnalité ne concerne pas uniquement la collecte initiale. Il s’applique à l’ensemble du cycle de vie des données, y compris à l’utilisation qui en est faite et aux croisements opérés entre différentes catégories de données.

Proportionnalité et analyse d’impact

Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, le RGPD impose la réalisation d’une analyse d’impact relative à la protection des données (AIPD) en vertu de l’article 35. L’évaluation de la proportionnalité constitue un élément central de cette analyse.

L’article 35(7)(b) du RGPD prévoit explicitement que l’AIPD doit comporter « une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités ». En pratique, cela signifie que le responsable de traitement doit :

1. Justifier chaque catégorie de données au regard de la finalité
2. Documenter les alternatives envisagées et expliquer pourquoi des solutions moins intrusives n’ont pas été retenues
3. Évaluer le caractère proportionné de la durée de conservation
4. Vérifier la proportionnalité des destinataires — les données sont-elles communiquées à des tiers qui n’en ont pas besoin ?

Cette documentation est un élément clé du principe d’accountability (Art. 5(2) RGPD). En cas de contrôle, c’est cette analyse qui permettra de démontrer que la proportionnalité a été évaluée et respectée.

Les erreurs fréquentes à éviter

Ayant travaillé plus de 20 ans dans le domaine du droit des nouvelles technologies, j’observe des schémas récurrents de non-conformité au principe de proportionnalité :

La collecte préventive. « On collecte ces données au cas où on en aurait besoin plus tard. » C’est précisément ce que le RGPD interdit. Chaque donnée doit correspondre à une finalité actuelle et déterminée.

La granularité excessive. Collecter l’adresse complète quand seul le code postal est nécessaire. Enregistrer l’heure exacte de connexion seconde par seconde quand une granularité journalière suffit. Demander le numéro de téléphone fixe ET mobile quand un seul canal de contact est utilisé.

Le formulaire historique. Des champs qui figuraient dans un formulaire papier il y a 15 ans sont reproduits tels quels dans la version numérique, sans que personne ne se soit demandé si chaque champ reste nécessaire.

La surveillance disproportionnée des salariés. L’affaire Amazon France Logistique le démontre : la collecte de données sur l’activité professionnelle doit rester proportionnée à l’objectif de gestion. Un suivi en temps réel, seconde par seconde, de chaque geste d’un salarié dépasse généralement ce qui est nécessaire.

Mettre en œuvre le principe de proportionnalité

Pour traduire ce principe en actions concrètes, il est recommandé de procéder à un audit régulier des données collectées. Pour chaque traitement inscrit au registre :

1. Lister chaque catégorie de données effectivement collectées
2. Vérifier la nécessité de chacune au regard de la finalité actuelle du traitement
3. Supprimer ou anonymiser les données qui ne sont plus nécessaires
4. Documenter la justification pour chaque catégorie conservée

Pour aller plus loin sur la mise en oeuvre pratique, consultez notre guide sur le principe de minimisation des données qui détaille les étapes opérationnelles.

Ce qu’il faut retenir

• Le RGPD (Art. 5(1)©) impose que les données soient adéquates, pertinentes et limitées au nécessaire — un standard plus exigeant que l’ancienne loi de 1978 qui demandait seulement qu’elles ne soient « pas excessives »
• Le principe de proportionnalité s’applique à l’ensemble du cycle de vie des données : collecte, utilisation, conservation et communication à des tiers
• La CNIL sanctionne activement les violations : 32 M€ pour Amazon France Logistique, 20 M€ pour Clearview AI
• Chaque catégorie de données collectées doit pouvoir être justifiée au regard de la finalité du traitement — la charge de la preuve repose sur le responsable de traitement
• L’AIPD doit inclure une évaluation explicite de la proportionnalité (Art. 35(7)(b) RGPD)

FAQ

Quelle est la différence entre proportionnalité et minimisation des données ?

Les deux notions sont étroitement liées. Le principe de proportionnalité est le concept juridique consacré par le RGPD à l’article 5(1)©. La minimisation des données en est la traduction opérationnelle : elle désigne la démarche concrète consistant à réduire les données collectées au strict nécessaire. En pratique, la CNIL et le CEPD utilisent souvent les deux termes de manière interchangeable.

Comment prouver que mes données sont proportionnées en cas de contrôle CNIL ?

La meilleure approche est de documenter, pour chaque traitement inscrit au registre, la justification de chaque catégorie de données collectées. Cette documentation relève du principe d’accountability (Art. 5(2) RGPD). En cas de contrôle, la CNIL vérifiera que vous avez effectivement mené cette réflexion et que vos conclusions sont raisonnables.

Le principe de proportionnalité s’applique-t-il aux données des salariés ?

Oui, et c’est un domaine particulièrement sensible. La CNIL a rappelé à plusieurs reprises que la relation de subordination ne justifie pas une collecte illimitée de données sur les salariés. La sanction de 32 millions d’euros infligée à Amazon France Logistique en 2024 pour surveillance disproportionnée des préparateurs de commandes en est l’illustration la plus récente et la plus significative.

Que risque-t-on en cas de collecte disproportionnée ?

Les sanctions peuvent être administratives (amende jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, Art. 83(5)(a) RGPD) et pénales (5 ans d’emprisonnement et 300 000 euros d’amende en droit français, Art. 226-21 du code pénal). La CNIL peut également ordonner la suppression des données collectées en violation du principe.

Lire la suite : L’exactitude des données

Le plan de l'article :

- Les principes essentiels
- Le principe de loyauté
- Le principe de finalité
- Le principe de proportionnalité
- L'exactitude des données
- Le principe de temporalité
- Le consentement au traitement