Les développeurs doivent garder à l’esprit que les responsables du traitement des données en charge de leurs appareils ou systèmes devront être en mesure de démontrer que le traitement est nécessaire à l’objectif poursuivi et qu’il est moins intrusif que d’autres options permettant d’atteindre le même but ; et non qu’il s’agit d’une partie nécessaire des méthodes qu’ils ont choisies.^[1] S’il existe des alternatives réalistes et moins intrusives, le traitement des données personnelles n’est pas jugé nécessaire.^[2] Ainsi, les développeurs doivent fournir aux appareils et aux systèmes des options qui leur permettent de réduire l’utilisation des données à ce qui est strictement nécessaire (voir “Principe de minimisation” dans “Concepts principaux”, partie II des présentes lignes directrices). Le concept de nécessité est toutefois complexe et a une signification indépendante dans le droit de l’Union européenne.^[3] En général, il exige que le traitement soit un moyen ciblé et proportionné d’atteindre une finalité spécifique. Bien qu’elle ne doive pas être interprétée de manière stricte au point de signifier que seules les données absolument essentielles sont traitées, il ne suffit pas de faire valoir que le traitement est nécessaire parce que les responsables du traitement ont choisi d’exploiter leur entreprise d’une manière particulière. Par exemple, l’outil ne doit pas permettre d’identifier directement les utilisateurs lors de l’utilisation de l’application.

Le principe de minimisation des données stipule que les données personnelles doivent être “adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées”.^[4] Ce principe éthique signifie que, lorsqu’il s’agit d’utiliser des données de localisation ou de proximité, il faut toujours privilégier le traitement de données anonymisées plutôt que de données personnelles^[5] (voir les sections “Licéité et loyauté” et “Anonymisation” de la partie II des présentes lignes directrices). En effet, si des données personnelles peuvent être remplacées par des données non personnelles sans que cela n’affecte les finalités du traitement, l’utilisation de données anonymisées doit être clairement privilégiée, conformément au RGPD.

Liste de contrôle[6] :  L’outil est basé sur une architecture reposant autant que possible sur les appareils des utilisateurs.  Les demandes faites par les applications au serveur central ne révèlent pas d’informations inutiles pour les besoins du service au système.  Afin d’éviter la réidentification par le serveur central, des serveurs proxy sont mis en œuvre. Le but de ces serveurs non collaboratifs est de mélanger les identifiants de plusieurs utilisateurs avant de les partager avec le serveur central, afin d’empêcher ce dernier de connaître les identifiants (tels que les adresses IP) des utilisateurs.  L’application et le serveur sont soigneusement développés et configurés afin de ne pas collecter de données inutiles (par exemple, aucun identifiant ne doit être inclus dans les journaux du serveur, etc.

 

1. CEPD (2017) Necessity toolkit : assessing the necessity of measures that limit the fundamental right to the protection of personal data, p.5. Contrôleur européen de la protection des données, Bruxelles. Disponible à l’adresse : https://edps.europa.eu/data-protection/our-work/publications/papers/necessity-toolkit_en (consulté le 15 mai 2020) ; ICO (sans date) Lawful basis for processing. Bureau du commissaire à l’information, Wilmslow. Disponible à l’adresse : https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/lawful-basis-for-processing/ (consulté le 15 mai 2020). ↑
2. Voir CJUE, Affaires jointes C92/09 ‑et C93/09‑, Volker und Markus Schecke GbR et Hartmut Eifert c. Land Hessen, 9. novembre 2010. ↑
3. Voir CJUE, affaire C524/06‑, Heinz Huber c. Bundesrepublik Deutschland, 18 décembre 2008, para. 52. ↑
4. Article 5(1)(c) du RGPD. ↑
5. EDPB, Lignes directrices 04/2020 sur l’utilisation des données de localisation et des outils de recherche des contacts dans le contexte de l’épidémie de COVID-19 Adopté le 21 avril 2020 ↑
6. Cette liste de contrôle a été élaborée sur la base de celle qui figure dans les lignes directrices 04/2020 de l’EDPB sur l’utilisation des données de localisation et des outils de recherche des contacts dans le contexte de l’épidémie de COVID-19, adoptées le 21 avril 2020, à l’adresse suivante : https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_20200420_contact_tracing_covid_with_annex_en.pdf. ↑