Pour vérifier l’article 5 du RGPD, partez d’un traitement précis : un recrutement, un fichier clients ou un programme de fidélité. Cette page fournit une grille de contrôle permettant de rapprocher ce que l’organisation déclare de ce qui se passe dans les formulaires, les outils et les exports.
La revue doit produire trois résultats : des constats vérifiables, des preuves conservées et des corrections attribuées à un responsable. Pour interpréter les exigences et leurs limites avant cette revue, consultez les principes de l’article 5.
Points Clés
- L’article 5 du RGPD est le socle de votre conformité : il énonce les sept principes fondamentaux (licéité, finalité, minimisation, etc.) qui doivent régir chaque traitement de données personnelles.
- Chaque collecte doit avoir un objectif précis et légitime (limitation des finalités), et ne doit porter que sur les données strictement nécessaires pour l’atteindre (minimisation).
- La gestion du cycle de vie des données est essentielle : elles doivent être exactes, mises à jour, et leur durée de conservation ne doit pas excéder le temps nécessaire à la finalité du traitement.
- La sécurité n’est pas une option : le principe d’intégrité et de confidentialité vous oblige à protéger activement les données contre tout accès non autorisé, perte ou destruction via des mesures adaptées.
- Le principe de responsabilité (« accountability ») vous impose non seulement de respecter les règles, mais aussi d’être capable de le démontrer à tout moment par une documentation appropriée.
Préparer le périmètre de la revue
Choisissez le propriétaire métier du traitement et les personnes capables de montrer son fonctionnement. Relevez la finalité, les outils, les destinataires et les copies existantes, puis sélectionnez un échantillon proportionné : un dossier, un export et une demande de correction, par exemple. Évitez de copier des données réelles inutiles dans le dossier d’audit ; décrivez le constat ou utilisez une preuve expurgée.
L’article 5(1) regroupe les exigences en six points, de a) à f). L’article 5(2) ajoute la responsabilité du responsable de traitement et l’obligation de démontrer le respect de ces exigences. La grille ci-dessous présente donc sept lignes de contrôle.
Notez la date et le périmètre de l’échantillon. Un contrôle réussi sur un recrutement ne démontre pas le fonctionnement de toutes les applications RH. Les contrôles suivants servent à repérer des écarts concrets, puis à décider où approfondir l’examen.
Décryptage pratique des principes fondateurs
Le premier pilier de l’article 5 du RGPD repose sur un triptyque essentiel : licéité, loyauté et transparence. Tout traitement doit d’abord être licite, c’est-à-dire fondé sur une des six bases légales de l’article 6 (consentement, contrat, etc.). Il doit ensuite être loyal, ce qui signifie qu’il ne doit pas être déceptif et doit correspondre aux attentes raisonnables de la personne. Enfin, la transparence impose une communication claire et accessible. Pour garantir cette licéité, loyauté et transparence, il est crucial de documenter vos choix de bases légales et vos modalités d’information.
Le deuxième principe est celui de la limitation des finalités. Il impose que toute collecte de données soit réalisée pour un objectif précis, clairement formulé et légitime, défini avant la collecte. Une fois les données en votre possession, elles ne peuvent être utilisées pour un autre but jugé incompatible. Pour une mise en œuvre efficace du principe de limitation des finalités, assurez-vous que chaque finalité est spécifique, explicite et légitime. Par exemple, une adresse e-mail recueillie pour une confirmation de commande ne peut être réutilisée pour de la prospection marketing sans base légale.
Le principe de minimisation est un réflexe essentiel. Pour le mettre en œuvre, questionnez chaque collecte de manière systématique : ai-je vraiment besoin de cette donnée pour atteindre mon objectif ? Pourrais-je y parvenir avec moins d’informations, ou des données moins sensibles ? Ce questionnement doit être une étape clé de tout nouveau projet. La revue des champs collectés permet de consigner ces décisions. Par exemple, pour un formulaire RGPD de newsletter, l’email est nécessaire, mais l’âge ou le numéro de téléphone ne le sont probablement pas. Documenter ces décisions crée une preuve tangible de votre démarche de conformité.
Ces trois premiers principes de l’article 5 RGPD forment le socle de toute collecte de données. Ils sont interdépendants : une finalité bien définie (principe 2) permet de ne collecter que les données nécessaires (principe 3) et d’informer clairement la personne (principe 1). Ignorer l’un de ces piliers fragilise toute votre démarche de conformité.
Maîtriser le cycle de vie des données : exactitude, conservation et sécurité
Le principe d’exactitude, quatrième pilier de l’article 5 du RGPD, exige que les données personnelles soient exactes et, si nécessaire, tenues à jour. L’inexactitude s’apprécie au regard des finalités du traitement : toutes les mesures raisonnables doivent permettre d’effacer ou de rectifier sans tarder les données inexactes dans ce contexte. Une information historique exacte à sa date n’est donc pas nécessairement à remplacer par une valeur actuelle. Un portail client permettant la modification des informations personnelles est une excellente pratique, car il facilite l’exercice du droit de rectification (art 16 RGPD). La qualité et la justesse des données sont essentielles pour préserver les droits des personnes et garantir la pertinence des traitements opérés. Une donnée erronée peut conduire à des décisions préjudiciables et engager la responsabilité du traitement. Vérifiez qu’une correction atteint aussi l’export utilisé par l’équipe métier.
Le cinquième principe, la limitation de la conservation, combat l’accumulation inutile de données. Il stipule que les informations ne doivent pas être conservées sous une forme permettant l’identification plus longtemps que nécessaire pour les finalités définies. Chaque organisation doit établir une politique de conservation claire, en définissant des durées précises pour chaque catégorie de données. Distinguez par exemple les candidatures en cours, le vivier de candidats et les pièces conservées pour un contentieux. Pour chaque finalité, justifiez la durée et son point de départ. À l’échéance, appliquez la suppression prévue ou une anonymisation dont la robustesse a été évaluée.
Enfin, le sixième principe d’intégrité et de confidentialité est le garant de la sécurité des données. Il impose au responsable du traitement de protéger les informations contre tout accès non autorisé, perte, destruction ou altération. Cela se traduit par la mise en place de mesures techniques et organisationnelles adaptées, comme le prévoit l’article 32 du RGPD. Pensez au chiffrement des données sensibles, à la gestion stricte des droits d’accès pour que seuls les employés habilités y accèdent, ou encore aux audits de sécurité réguliers. Pour des détails sur la mise en œuvre de la politique de sécurité des systèmes d’information, vous pouvez consulter nos ressources.
Ces trois principes de l’art 5 rgpd – exactitude, limitation de la conservation, et sécurité – forment le cœur de la gestion du cycle de vie des données. Ils sont indissociables : des données exactes n’ont de valeur que si elles sont conservées pour une durée pertinente et protégées par des mesures de sécurité adéquates. Leur application correcte démontre une approche mature de la gouvernance de l’information, où la protection des données est intégrée à chaque étape, de leur création à leur destruction sécurisée.
-
Mettre en place des procédures de vérification régulière de la base de données pour identifier et corriger les informations obsolètes ou incorrectes.
-
Définir et documenter des durées de conservation pour chaque finalité de traitement et automatiser les processus de suppression ou d’anonymisation.
La maîtrise de ces principes va au-delà d’une simple conformité. Elle traduit un engagement envers la qualité et la sécurité de l’information, renforçant la confiance des individus et protégeant l’organisation contre les risques de violations.
Le principe de responsabilité : prouver votre conformité au quotidien
Dernier pilier et véritable chef d’orchestre de l’art 5 rgpd, le principe de responsabilité (« accountability ») change radicalement la perspective de la conformité. Il ne suffit plus de respecter passivement les six autres règles ; il faut être en mesure de le démontrer activement et à tout moment. Cette exigence, formalisée à l’article 5.2, instaure une culture de la preuve où les éléments conservés doivent démontrer le respect des exigences.
L’article 5 face à la réalité : jurisprudence et sanctions
Les principes de l’art 5 rgpd ne sont pas de simples suggestions théoriques. Les décisions des autorités de contrôle, comme la CNIL, et la jurisprudence de la Cour de Justice de l’Union Européenne (CJUE) les ancrent dans la réalité opérationnelle des entreprises, illustrant les conséquences concrètes du non-respect.
La CNIL a sanctionné Carrefour Banque en 2020. Pour Carrefour Banque, le problème de loyauté concernait notamment des données transmises à Carrefour France au-delà de ce qui avait été annoncé. La leçon pratique est de comparer l’information donnée au flux réel, et pas seulement de vérifier qu’une notice existe.
Pour un programme de fidélité, listez les champs exportés, l’entité destinataire et la finalité annoncée. Comparez un export réel à cette description. Si des données supplémentaires partent vers le destinataire, retirez-les ou réévaluez le traitement avant de poursuivre. Une mise à jour de la notice ne rend pas automatiquement licite un usage initialement incompatible.
Au-delà de leur aspect punitif, ces décisions constituent une source d’interprétation essentielle. Elles transforment le texte réglementaire en un guide pratique pour les DPO et les responsables de traitement. Analyser cette jurisprudence permet d’anticiper les attentes des régulateurs, d’identifier les zones de risque spécifiques à son secteur et d’ajuster ses processus pour une conformité durable et démontrable.
Vérifier les sept principes sur un traitement réel
Choisissez une activité précise, par exemple la gestion des candidatures, et confrontez le registre à un dossier et à ses flux réels. Le tableau suivant sert de feuille de revue, pas de certificat de conformité.
| Principe | Vérification pour le recrutement | Preuve et correction possibles |
|---|---|---|
| Licéité, loyauté, transparence | La finalité et la base sont-elles expliquées avant le dépôt du CV ? | Notice datée, justification de la base, suppression d’un usage dissimulé |
| Finalités | Le CV sert-il à ce recrutement ou aussi à un vivier ? | Séparation des usages et information adaptée |
| Minimisation | Chaque champ du formulaire est-il utile au poste ? | Retrait de questions sans lien avec l’aptitude professionnelle |
| Exactitude | Une correction du candidat atteint-elle le dossier utilisé par le recruteur ? | Trace de correction et propagation aux copies utiles |
| Conservation | Que devient le dossier à la fin du recrutement ? | Règle par finalité, échéance et résultat d’une purge |
| Intégrité et confidentialité | Qui peut consulter les CV et pièces jointes ? | Revue des habilitations, retrait des anciens recruteurs |
| Responsabilité | Qui valide les choix et corrige les écarts ? | Décisions, propriétaire de chaque action et recontrôle |
Un délai de conservation doit avoir un point de départ et une justification. La mention « deux ans » sans distinction entre candidature en cours, vivier et contentieux ne suffit pas. De même, la durée comptable d’une facture ne s’étend pas à toutes les données du compte client. Pour formaliser les règles, utilisez la méthode de conservation.
À la fin de la revue, choisissez au plus quelques corrections prioritaires, attribuez-les et vérifiez leur exécution. Un document décrivant une suppression automatique ne vaut pas la preuve que la suppression fonctionne effectivement. Le guide de collecte permet d’agir en amont sur les champs ; le guide de pseudonymisation approfondit la limitation des accès à l’identité.
Les pièges de l’article 5 RGPD pour les non juristes
L’application de l’art 5 rgpd recèle des subtilités souvent sous-estimées par les non-juristes. Une lecture superficielle peut mener à des erreurs de mise en œuvre coûteuses, même avec les meilleures intentions. Voici les trois pièges les plus courants qui transforment une démarche de conformité en un risque majeur pour votre organisation.
-
Confondre « intérêt légitime » avec un passe-droit. Cette base légale n’est pas une carte blanche pour tout traitement jugé utile. Elle impose une mise en balance rigoureuse et documentée entre les intérêts de l’entreprise et les droits et libertés des personnes, un exercice souvent négligé.
-
Penser que la conformité suffit. Le principe de responsabilité (« accountability ») exige de pouvoir prouver le respect des règles à tout moment. L’absence de documentation rend la démonstration du respect des principes insuffisante. Ce défaut de preuve est souvent sous-estimé par les entreprises, pensant que le simple fait d’être conforme suffit.
-
Sous-estimer la complexité de l’anonymisation. Des données simplement pseudonymisées (en remplaçant un nom par un identifiant) ne sont pas anonymes. Le risque de ré-identification par croisement de données est réel, ce qui signifie qu’elles restent des données personnelles soumises au RGPD.
Éviter ces écueils demande plus qu’une simple lecture du règlement. Il s’agit d’adopter une culture de la preuve et de questionner chaque traitement avec un regard critique.
FAQ
Quelle est la différence entre la minimisation et l’anonymisation des données
La minimisation des données, principe clé de l’article 5.1.c, est une obligation qui s’applique dès la conception d’un traitement. Elle impose de ne collecter et de ne traiter que les données strictement nécessaires à l’objectif poursuivi. C’est une démarche préventive qui vise à limiter la surface de risque en amont. Par exemple, pour une inscription à une newsletter, la minimisation consiste à ne demander que l’adresse e-mail et à exclure des champs comme la date de naissance ou l’adresse postale, qui ne sont pas indispensables à la finalité d’envoi d’informations.
L’anonymisation, quant à elle, est une technique de traitement appliquée à des données déjà collectées, souvent en fin de cycle de vie. Son but est de modifier les données de manière irréversible pour qu’il ne soit plus possible d’identifier la personne concernée, même par recoupement. Une fois anonymisées, les données ne sont plus considérées comme personnelles et sortent du champ d’application du RGPD. La minimisation est donc un principe de gouvernance à appliquer en permanence, tandis que l’anonymisation est une action technique spécifique permettant par exemple de respecter la limitation de conservation (art. 5.1.e) tout en conservant des données à des fins statistiques.
Puis-je utiliser la base de données de mes clients pour leur envoyer des offres commerciales
La réutilisation commerciale doit être analysée comme une finalité, avec une base juridique adaptée et les règles propres au canal. En France, la prospection électronique distingue notamment le consentement préalable des particuliers, l’exception encadrée pour certains clients existants et la prospection professionnelle pertinente avec opposition. L’intérêt légitime n’est ni une dispense de ces règles ni une base interdite par principe. Informez les personnes et rendez l’opposition effective.
Que risque une entreprise qui respecte les principes mais ne documente pas ses actions
L’article 5(2) oblige le responsable à démontrer le respect des principes. Les documents exigés, notamment le registre et l’AIPD lorsqu’ils sont applicables, comptent dans cette démonstration. Conservez aussi les résultats des contrôles : une politique de conservation sans purge effective n’établit pas le respect de la durée. Les preuves doivent correspondre au traitement examiné ; leur absence ne se résout pas par une déclaration de bonne foi.
Conclusion
Le livrable de cette revue est une fiche datée : traitement examiné, contrôles réalisés, limites de l’échantillon, écarts, personnes chargées des corrections et résultat du recontrôle. Rattachez-la au registre des traitements pour retrouver les décisions lors du prochain changement d’outil, de finalité ou de destinataire.
Sources vérifiées le 26 septembre 2026 : RGPD, article 5, décision Carrefour et règles CNIL de prospection citées.