Minimisation des données

Le principe de minimisation des données, consacré par l'article 5(1)(c) du RGPD, stipule que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. En clair, une entreprise ne doit pas collecter d'informations « au cas où » elles pourraient être utiles plus tard, mais uniquement celles dont elle a un besoin immédiat et justifié pour atteindre son objectif. Pour un dirigeant de PME, cela implique une réflexion rigoureuse lors de la conception de tout nouveau service ou outil (approche « Privacy by Design »). Chaque champ de formulaire, chaque donnée demandée à un client ou un salarié doit pouvoir être justifié par une nécessité opérationnelle ou légale. Si l'objectif peut être atteint sans collecter une donnée spécifique, alors cette donnée ne doit pas être recueillie. Le respect de ce principe réduit non seulement les risques juridiques en cas de contrôle de la CNIL, mais limite également l'impact financier et réputationnel en cas de violation de données : moins vous stockez de données sensibles ou superflues, moins le préjudice est important si vos systèmes sont compromis.