L’article 5 du RGPD tient en deux paragraphes. Le premier fixe six principes applicables à toute donnée personnelle. Le second oblige le responsable du traitement à prouver qu’il les applique.
Le texte paraît court. Pourtant, chaque mot y pèse. Il parle par exemple de données « traitées », donc de toute la vie de la donnée, de sa collecte à sa suppression. Nous reprenons ici l’article lettre par lettre, d’après la version publiée sur EUR-Lex. Chaque principe reçoit un exemple concret.
Pour les voir appliqués aux situations courantes, lisez notre guide sur les principes du RGPD.
L’article 5 RGPD en un coup d’œil
| Paragraphe | Principe | Ce que vous devez faire |
|---|---|---|
| 5.1 a | Licéité, loyauté, transparence | Une base légale, un traitement honnête, une information claire. |
| 5.1 b | Limitation des finalités | Un objectif fixé dès la collecte, aucune réutilisation incompatible. |
| 5.1 c | Minimisation | Seulement les données nécessaires à cet objectif. |
| 5.1 d | Exactitude | Des données justes, corrigées ou effacées sans tarder. |
| 5.1 e | Limitation de la conservation | Une durée fixée, puis la suppression ou l’anonymisation. |
| 5.1 f | Intégrité et confidentialité | Une sécurité adaptée, y compris contre les accidents. |
| 5.2 | Responsabilité | La preuve écrite du respect des six principes. |
Le paragraphe 1 décrit l’état attendu des données. Le paragraphe 2 désigne ensuite le responsable de cet état. Ainsi, un principe respecté sans trace écrite reste difficile à défendre lors d’un contrôle.
Article 5, paragraphe 1 : les six principes du traitement
a) Licéité, loyauté et transparence
La licéité renvoie à l’article 6. Chaque traitement repose ainsi sur l’une des six bases légales, comme le consentement, le contrat ou l’intérêt légitime. La loyauté interdit de tromper la personne sur ce que vous faites de ses données. Quant à la transparence, le considérant 39 la précise. L’information doit être aisément accessible, facile à comprendre et rédigée en termes clairs.
Par exemple, un formulaire de contact muet sur le destinataire du message manque à la transparence. L’article 13 détaille les mentions à donner lors de la collecte. Notre explication de l’article 13 du RGPD les reprend une à une.
Vérifiez donc que chaque formulaire renvoie vers une information lisible : qui traite, pourquoi et pour combien de temps.
b) Limitation des finalités
L’objectif du traitement se fixe au moment de la collecte, et il s’écrit. Une réutilisation reste possible si elle demeure compatible avec cet objectif. Pour en juger, l’article 6, paragraphe 4, liste des critères. D’abord, le lien entre les deux finalités et le contexte de la collecte. Ensuite, la nature des données et les conséquences pour les personnes. Enfin, les garanties prévues, comme le chiffrement ou la pseudonymisation.
Le texte prévoit aussi une exception. Il admet le traitement ultérieur à des fins d’archives dans l’intérêt public, de recherche ou de statistiques. Les garanties de l’article 89 s’appliquent alors.
Par exemple, des adresses collectées pour livrer une commande servent à la livraison. Avant de les confier à un partenaire pour sa prospection, faites le test de compatibilité et consignez le résultat.
c) Minimisation des données
Autrement dit, la minimisation se mesure toujours par rapport à la finalité. Une donnée utile ailleurs peut rester excessive ici.
La CNIL en a donné une illustration nette le 27 août 2020. Sa présidente a mis en demeure plusieurs employeurs équipés de badgeuses photo. L’appareil photographiait le salarié à chaque pointage, deux à quatre fois par jour. La CNIL a donc jugé cette collecte excessive, car une pointeuse à badge classique suffit à contrôler les horaires. De plus, ses contrôles ont montré que personne ou presque ne consultait ces photos. Les organismes disposaient de trois mois pour se mettre en conformité.
Pour chaque champ d’un formulaire, posez la question : que se passerait-il sans lui ? Si la réponse est « rien », supprimez-le.
d) Exactitude
Les mots « si nécessaire » comptent. En effet, un fichier de paie suit le changement d’adresse d’un salarié. En revanche, une archive historique décrit une situation passée. De plus, le texte exige de corriger ou d’effacer sans tarder une donnée inexacte, sans attendre une demande.
La personne dispose aussi du droit de rectification de l’article 16. Prévoyez donc un circuit simple : qui reçoit la correction, qui la saisit, dans quel délai.
e) Limitation de la conservation
Le texte vise les données qui permettent d’identifier une personne. Ainsi, une fois anonymisées, elles sortent de son champ. Comme pour les finalités, il autorise une conservation plus longue pour les archives, la recherche ou les statistiques, sous les garanties de l’article 89.
La CNIL décrit un cycle en trois temps : la base active, l’archivage intermédiaire, puis parfois l’archivage définitif. Elle donne des repères concrets. Par exemple, les données d’un candidat non retenu se conservent 2 ans au maximum, sauf demande d’effacement. Les données de facturation restent 10 ans en application du code de commerce. Enfin, l’employeur garde un double du bulletin de paie pendant 5 ans selon l’article L3243-4 du code du travail.
Inscrivez une durée par catégorie de données dans votre registre, puis programmez la purge.
f) Intégrité et confidentialité
Le principe couvre donc l’attaque et l’accident. Par exemple, une sauvegarde rangée dans la pièce du serveur protège mal contre un incendie. L’article 32 détaille les moyens, dont la pseudonymisation et le chiffrement. Il exige aussi la disponibilité et la résilience des systèmes, et la capacité à rétablir l’accès aux données.
Si un incident survient malgré tout, suivez notre tutoriel pour notifier une violation de données.
Article 5, paragraphe 2 : prouver le respect des principes
Ce paragraphe vous oblige à tenir prête la preuve de votre conformité, avant tout contrôle. L’article 24 en tire la méthode. Le responsable du traitement prend des mesures techniques et organisationnelles pour respecter le règlement et pouvoir le démontrer. Ensuite, il les réexamine et les actualise.
En pratique, le registre des traitements (article 30) sert de première preuve. Les contrats de sous-traitance (article 28) et les analyses d’impact (article 35) complètent le dossier. Ajoutez-y les mentions d’information, les durées de conservation et les décisions de compatibilité prises au titre du point b.
L’enjeu financier suit. L’article 83, paragraphe 5, punit un manquement aux principes de base d’une amende jusqu’à 20 millions d’euros. Pour une entreprise, le plafond atteint 4 % du chiffre d’affaires annuel mondial si ce montant est plus élevé.
Prenez un traitement au hasard dans votre registre et cherchez la preuve écrite de chacun des six principes.
Sources consultées
Les articles cités proviennent du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, publié sur EUR-Lex.
L’exemple des pointeuses vient de l’actualité CNIL Badgeuses photo : mise en demeure de plusieurs employeurs pour collecte excessive de données.
Les repères de durée figurent sur la page CNIL Les durées de conservation des données.
Questions fréquentes
Que dit l’article 5 du RGPD ?
L’article 5 du RGPD fixe les principes de tout traitement de données personnelles. Son paragraphe 1 en pose six : licéité, loyauté et transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation, intégrité et confidentialité. Son paragraphe 2 oblige le responsable du traitement à prouver qu’il les respecte.
Quels sont les principes de l’article 5 du RGPD ?
Le texte nomme la licéité, la loyauté et la transparence, la limitation des finalités, la minimisation des données, l’exactitude, la limitation de la conservation, l’intégrité et la confidentialité, puis la responsabilité. Selon la façon de compter, on parle de six ou de sept principes.
Quelle différence entre l’article 5 et l’article 6 du RGPD ?
L’article 5 pose les principes que tout traitement respecte. L’article 6 détaille l’un d’eux, la licéité, en listant les six bases légales possibles, dont le consentement, le contrat, l’obligation légale et l’intérêt légitime.
Qu’est-ce que le principe de responsabilité du RGPD ?
Le principe de responsabilité, prévu à l’article 5.2, oblige le responsable du traitement à respecter les principes et à pouvoir le démontrer. En pratique, le registre des traitements, les contrats de sous-traitance et les analyses d’impact servent de preuves.
Quelle sanction en cas de non-respect de l’article 5 du RGPD ?
Le non-respect des principes de base, dont ceux de l’article 5, expose à une amende administrative jusqu’à 20 millions d’euros ou, pour une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. L’article 83, paragraphe 5, du RGPD fixe ce plafond.
