Une université sanctionnée pour excès de collecte de données personnelles
À retenir :
- L'Agence espagnole de protection des données (AEPD) a prononcé une amende de 20 000 € contre l'université Nebrissensis
- Le motif : demande d'une copie complète de pièce d'identité pour l'expédition d'un diplôme officiel
- Ce cas illustre une violation du principe de minimisation des données, pilier du RGPD
- Les organismes doivent collecter uniquement les données strictement nécessaires à leurs finalités
En 2024, l'Agence espagnole de protection des données (AEPD) a rendu une décision de sanction particulièrement instructive. Elle concerne une université qui a demandé à un étudiant de fournir une copie intégrale de sa pièce d'identité pour recevoir son diplôme officiel. Cette exigence, bien qu'apparemment routinière, constitue une violation manifeste du principe de minimisation des données, fondement du Règlement général sur la protection des données (RGPD).
Cette affaire, initiée par la plainte d'un étudiant, révèle comment des pratiques administratives courantes peuvent contrevenir à la réglementation européenne sur la protection des données. Elle offre une opportunité de clarifier ce que signifie réellement la minimisation des données dans un contexte opérationnel.
Qu'est-ce que le principe de minimisation des données ?
Le principe de minimisation des données est consacré à l'article 5 du RGPD. Il stipule que les données personnelles collectées doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ».
Concrètement, cela signifie que tout responsable de traitement doit se poser une question fondamentale : « Ai-je réellement besoin de toutes ces données pour accomplir ma mission ? »
Dans le cas de l'université espagnole, la finalité était claire : expédier un diplôme officiel. Pour cette action, l'établissement avait besoin de vérifier l'identité du destinataire et de disposer d'une adresse d'envoi. Demander une copie complète d'une pièce d'identité représente donc une collecte excessive, au-delà de ce qui était nécessaire.
Les risques d'une collecte excessive de données
Augmentation de la surface d'exposition aux risques
Plus une organisation collecte de données, plus elle accumule de responsabilités en matière de sécurité et de protection. Chaque donnée supplémentaire représente un risque potentiel de fuite, de piratage ou d'accès non autorisé.
Violations d'obligations légales
L'article 5(1)(c) du RGPD impose explicitement que les données soient « limitées à ce qui est nécessaire ». Ignorer cette obligation expose l'organisation à des sanctions administratives pouvant atteindre jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83 du RGPD).
Dégradation de la confiance
Les citoyens sont de plus en plus conscients de leurs droits. Une demande de données excessives peut générer de la méfiance, des plaintes auprès des autorités et, à terme, une atteinte à la réputation de l'organisation.
Comment l'AEPD a qualifié cette violation
L'Agence espagnole de protection des données a considéré que la demande d'une photocopie complète de la pièce d'identité constituait un traitement disproportionné. Le principe de minimisation n'était pas respecté car :
- L'université disposait déjà des informations identitaires de l'étudiant dans son dossier académique
- Pour vérifier l'identité et expédier un diplôme, d'autres moyens moins intrusifs étaient possibles (consultation d'une base de données, demande de données partielles uniquement)
- La conservation d'une photocopie complète de pièce d'identité, contenant des données sensibles (numéro d'identification unique, signature), dépassait largement la nécessité
Cette décision rejoint les recommandations du Comité européen de la protection des données (CEPD), qui préconise une approche de « privacy by design » : anticiper les risques en concevant des processus qui ne demandent que le strict minimum.
Leçons pour les organisations publiques et privées
Réaliser un audit de collecte de données
Chaque organisation devrait examiner ses formulaires, ses processus administratifs et ses demandes documentaires. Que collectez-vous réellement ? Chaque champ est-il justifié ? Existe-t-il un élément non essentiel qui pourrait être supprimé ?
Adapter la demande à la finalité
Pour l'expédition d'un document : le nom, le prénom et l'adresse suffisent généralement. Pour une vérification d'identité : un numéro d'identification ou un document numérisé (pas la copie intégrale) peut suffire. Pour un dossier de crédit : seules les informations financières pertinentes sont nécessaires.
Documenter les justifications
Selon la CNIL (l'équivalent français de l'AEPD), il est judicieux de documenter pourquoi chaque donnée est collectée. Cette documentation constitue une preuve de conformité en cas de contrôle.
Informer et transparence
Les personnes dont les données sont collectées doivent savoir pourquoi elles sont demandées et comment elles seront utilisées. L'article 13 du RGPD impose cette transparence dès la collecte.
Cas similaires et tendances réglementaires
Cette affaire espagnole n'est pas isolée. Les autorités de protection des données européennes, notamment la CNIL en France, intensifient les contrôles sur le respect du principe de minimisation. Les secteurs touchés incluent :
- L'éducation (écoles, universités demandant des documents excessifs)
- La santé (collecte de données médicales au-delà du nécessaire)
- L'administration publique (formulaires administratifs surchargés)
- Le secteur financier (vérifications d'identité excessives)
- Les ressources humaines (demandes de données personnelles trop détaillées lors du recrutement)
La tendance est claire : les autorités de contrôle considèrent de plus en plus que « parce que c'est facile de collecter » ne justifie pas de le faire. Le RGPD impose une véritable évaluation des besoins.
Mesures concrètes pour rester conforme
Pour éviter une situation similaire à celle de l'université espagnole, voici un plan d'action :
- Cartographier vos traitements : Identifier tous les lieux où vous collectez des données personnelles
- Évaluer la nécessité : Pour chaque champ, demander si c'est vraiment indispensable à la finalité déclarée
- Supprimer le superflu : Retirer les données non essentielles des formulaires et des processus
- Mettre en place des limitations de durée : Définir des durées de conservation adaptées à chaque type de donnée
- Sécuriser l'accès : Restreindre l'accès aux données collectées aux seules personnes qui en ont besoin
- Former les équipes : Sensibiliser les collaborateurs au RGPD et au principe de minimisation
Questions fréquentes
Pourquoi collecter seulement ce qui est nécessaire est-il si important ?
La minimisation des données réduit les risques de fuite, simplifie la conformité, et respecte le droit fondamental à la vie privée. Plus vous collectez de données, plus vous devez les sécuriser, plus vous avez de responsabilités légales. C'est une protection pour vous et pour les personnes concernées.
Comment justifier auprès d'une autorité de contrôle pourquoi j'ai collecté certaines données ?
Documentez votre analyse de nécessité. Par exemple : « Pour expédier un diplôme, nous collectons le nom, le prénom et l'adresse. Ces trois éléments sont indispensables à la finalité. Le numéro de téléphone n'est demandé que si l'étudiant le souhaite volontairement pour un contact accéléré. » Cette documentation est votre preuve de conformité.
Que risque une organisation qui viole le principe de minimisation ?
Les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les violations graves (article 83 du RGPD). Mais aussi des plaintes d'usagers, une atteinte à la réputation, et des poursuites judiciaires des personnes concernées. L'amende de 20 000 € infligée à l'université espagnole est relativement modérée, mais elle montre que les autorités sanctionnent cette violation.
Conclusion : la minimisation comme culture de conformité
La sanction de l'AEPD contre l'université Nebrissensis illustre une évolution importante dans l'application du RGPD. Les autorités de protection des données ne se contentent plus de fermer les yeux sur les pratiques « traditionnelles ». Elles exigent une véritable évaluation de la nécessité de chaque donnée collectée.
Le principe de minimisation n'est pas une formalité administrative, c'est un pilier de la protection des droits fondamentaux. Pour les organisations, il représente aussi une opportunité : en collectant moins, elles réduisent leurs risques, simplifient leur conformité, et gagnent la confiance de leurs usagers.
Si votre organisation collecte encore des données « au cas où » ou « parce que c'est utile », le moment est venu de revoir vos processus. La tendance réglementaire est claire, et les amendes s'accélèrent. La minimisation des données est l'avenir de la conformité RGPD.