Respecter le RGPD dans une application métier, c’est d’abord une affaire de conception : l’article 25 du règlement impose de prévoir la protection des données au moment où l’on définit l’application, et de ne traiter par défaut que les données nécessaires. Concrètement, cela se traduit par cinq fonctions à spécifier dès le cahier des charges : des formulaires limités aux champs utiles, des droits d’accès par rôle, des durées de conservation appliquées automatiquement, des outils pour répondre aux demandes des personnes, et une journalisation des accès. Ajoutées après coup, ces fonctions coûtent cher et restent incomplètes ; prévues dès le départ, elles se fondent dans l’application.
Que dit exactement le principe de « protection des données dès la conception » ?
La protection des données dès la conception (privacy by design) est l’obligation, pour le responsable de traitement, de mettre en œuvre des mesures techniques et organisationnelles appropriées « tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même », selon l’article 25 du RGPD.
Son complément, la protection par défaut (privacy by default), exige que seules les données nécessaires à chaque finalité soient traitées. Le texte précise que cela vaut pour quatre dimensions : la quantité de données collectées, l’étendue de leur traitement, leur durée de conservation et leur accessibilité.
Pour un dirigeant, la traduction est simple : chaque champ, chaque écran, chaque export et chaque droit d’accès doit pouvoir se justifier par un besoin métier identifié. C’est un exercice de cadrage autant que de développement.
Qui fait quoi : responsable de traitement et sous-traitant
Avant d’écrire une ligne de code, il faut clarifier les rôles :
| Acteur | Rôle RGPD | Responsabilités principales |
|---|---|---|
| Votre entreprise | Responsable de traitement | Définit les finalités, la base légale, les durées ; tient le registre ; répond aux personnes |
| L’agence qui développe et maintient l’application | Sous-traitant | Agit sur instruction documentée, sécurise, aide à l’exercice des droits, signale les violations |
| L’hébergeur | Sous-traitant (ou sous-traitant ultérieur) | Sécurité de l’infrastructure, localisation des données |
| Les services tiers intégrés (e-mailing, signature, cartographie) | Sous-traitants ultérieurs | Garanties contractuelles et localisation à vérifier |
L’article 28 impose un contrat écrit entre le responsable de traitement et chaque sous-traitant, qui précise notamment l’objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées. Exigez-le de votre prestataire, et demandez-lui la liste des services tiers qu’il prévoit d’intégrer.
L’article 30 impose aussi un registre des activités de traitement. L’exemption pour les organisations de moins de 250 salariés est étroite : elle tombe dès que le traitement n’est pas occasionnel, présente un risque ou porte sur des données sensibles. La plupart des applications métier sont donc concernées.
Les cinq fonctions RGPD à prévoir dans le cahier des charges
Le guide RGPD du développeur de la CNIL détaille les bonnes pratiques techniques. Vues du côté du métier, elles se regroupent en cinq fonctions à exiger explicitement dans votre cahier des charges.
1. Minimiser les données collectées
Chaque formulaire est passé en revue : ce champ sert-il une finalité précise ? Est-il obligatoire ou facultatif ? Les zones de commentaire libre méritent une attention particulière, car on y retrouve souvent des informations sensibles qui n’ont rien à y faire (santé, situation familiale, appréciations personnelles). Une mention d’aide sous le champ et une limite de longueur réduisent ce risque.
2. Cloisonner les accès par rôle
Un commercial n’a pas besoin de voir les données de paie, un technicien terrain n’a pas besoin de l’historique de facturation. La matrice des droits (qui voit quoi, qui modifie quoi, qui exporte quoi) se définit pendant le cadrage, avec les responsables métier. Les exports massifs, qui sont la première source de fuite, sont réservés à quelques rôles et tracés.
3. Appliquer automatiquement les durées de conservation
La CNIL distingue trois phases : la base active, utilisée au quotidien ; l’archivage intermédiaire, pour les données qui ne servent plus mais doivent être conservées (contentieux, obligations légales), séparé et accessible à des personnes habilitées seulement ; puis la suppression, ou un archivage définitif dans des cas particuliers. L’application doit appliquer ces règles par des tâches automatiques : basculement en archive, anonymisation, purge. Une politique de conservation qui repose sur la mémoire de quelqu’un n’est jamais appliquée.
4. Outiller l’exercice des droits
Accès, rectification, effacement, opposition, portabilité : chaque demande doit pouvoir être traitée sans requête manuelle en base de données. Prévoyez un écran de recherche d’une personne dans toutes les tables, un export lisible de ses données, et une suppression ou anonymisation qui respecte les contraintes légales (une facture ne s’efface pas).
5. Journaliser les accès et les actions sensibles
Qui a consulté, modifié, exporté ou supprimé quelle fiche, et quand. Ce journal sert à détecter un usage anormal, à reconstituer un incident, et à démontrer votre conformité. Il a lui-même une durée de conservation et des droits d’accès restreints.
Faut-il une analyse d’impact (AIPD) ?
Une analyse d’impact relative à la protection des données (AIPD) est une étude qui évalue les risques d’un traitement pour les personnes et les mesures pour les réduire. Elle est obligatoire pour les traitements susceptibles d’engendrer un risque élevé.
La CNIL liste neuf critères. Si votre traitement en remplit au moins deux, l’AIPD est en principe requise :
- Évaluation ou notation, y compris le profilage.
- Décision automatique avec effet juridique ou similaire.
- Surveillance systématique.
- Données sensibles ou à caractère hautement personnel.
- Collecte à large échelle.
- Croisement de données.
- Personnes vulnérables (patients, personnes âgées, enfants, salariés).
- Usage innovant ou nouvelle technologie.
- Exclusion du bénéfice d’un droit ou d’un contrat.
Prenons une application de suivi d’accompagnement dans un établissement du secteur médico-social : données de santé et personnes vulnérables, deux critères réunis, l’AIPD s’impose. Une application de gestion des interventions qui géolocalise en continu les techniciens peut aussi la déclencher (surveillance systématique de salariés). Une IA qui classe des candidatures cumule plusieurs critères, et relève en plus de l’AI Act.
L’AIPD se mène pendant la conception : ses conclusions modifient l’application (pseudonymisation, accès restreints, durées plus courtes). Menée après la mise en production, elle se limite à constater.
Sécurité, environnements de test et migration de données
L’article 32 du RGPD exige des mesures de sécurité adaptées au risque. La CNIL a publié en 2024 une nouvelle édition de son guide de la sécurité des données personnelles, en 25 fiches, avec de nouvelles fiches sur le cloud, les applications mobiles, l’IA et les API. Les points qui reviennent le plus dans une application métier :
- Authentification solide : mots de passe robustes, double authentification pour les comptes à privilèges et les accès distants.
- Chiffrement des échanges (HTTPS partout) et des sauvegardes.
- Environnements séparés : le développement et la recette utilisent des données fictives ou pseudonymisées, jamais une copie brute de la production.
- Mises à jour régulières des composants, suivies dans le cadre de la maintenance.
- Localisation des données et choix de l’hébergeur, sujet traité dans notre article sur l’hébergement des applications métier.
Les failles les plus fréquentes des applications web, comme les contrôles d’accès défaillants, sont détaillées dans notre article sur l’OWASP Top 10.
Moment critique souvent oublié : la reprise des données de l’ancien outil. C’est l’occasion de ne pas migrer ce qui aurait dû être supprimé depuis longtemps. Notre checklist de migration de données intègre ce tri.
Et si une violation de données survient ?
Une violation de données est un incident de sécurité qui entraîne la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données personnelles. Les obligations sont précisées par la CNIL :
| Situation | Obligation |
|---|---|
| Toute violation, quel que soit le risque | Documentation interne de l’incident |
| Violation présentant un risque pour les personnes | Notification à la CNIL dans les meilleurs délais, si possible dans les 72 heures |
| Violation présentant un risque élevé | Information directe des personnes concernées, en plus |
Une application bien conçue permet de répondre vite aux questions que pose la notification : quelles données, combien de personnes, depuis quand. Sans journalisation, ces réponses prennent des jours.
Côté sanctions, l’article 83 prévoit jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les manquements aux obligations de conception et de sécurité (articles 25 à 39), et jusqu’à 20 millions d’euros ou 4 % pour les atteintes aux principes de base et aux droits des personnes, le montant le plus élevé étant retenu.
La checklist RGPD d’un projet d’application métier
- Finalités et base légale définies pour chaque traitement.
- Contrat de sous-traitance signé avec l’agence et l’hébergeur, liste des services tiers connue.
- Registre des traitements mis à jour.
- Critères d’AIPD vérifiés, analyse menée si nécessaire.
- Chaque champ de formulaire justifié par une finalité.
- Matrice des droits validée par les responsables métier.
- Durées de conservation définies et automatisées.
- Écrans d’exercice des droits prévus.
- Journalisation des accès et des exports.
- Données fictives ou pseudonymisées hors production.
- Procédure de gestion des violations rédigée et testée.
Intégrer ces exigences dès le cadrage fait partie de notre manière de concevoir des applications web sur mesure. Vous préparez un projet qui manipule des données personnelles ? Décrivez-le dans notre diagnostic de projet : nous identifions avec vous les points RGPD à prévoir dès la conception.
