Minimisation des données

Vous préparez un assistant qui classe des demandes clients. Le nom, l’adresse complète et l’historique du compte sont disponibles, mais la catégorie du message suffit peut-être. Les retirer avant l’envoi réduit ce qui peut être exposé, copié ou conservé sans empêcher la tâche.

La minimisation des données consiste à limiter les données personnelles à ce qui est adéquat, pertinent et nécessaire pour une finalité définie. Elle s’applique avant la collecte, puis aux transferts, aux accès, aux copies, aux journaux et à la conservation. [S1] [S3]

Minimiser ne signifie pas supprimer au hasard. Une donnée nécessaire pour éviter une erreur, mesurer un biais ou répondre à une obligation peut rester justifiée. La décision doit relier chaque donnée à un besoin précis et vérifier qu’une solution moins exposante fournit encore le résultat attendu. [S2]

Commencer par le résultat attendu

Décrivez la décision ou le service avant de dresser la liste des données disponibles. Une fonction plus étroite peut demander moins d’informations et parfois une méthode plus simple peut éviter la collecte. La CNIL recommande de préférer une technique qui atteint le même résultat avec moins de données personnelles. [S2]

Question	Décision attendue
Quel résultat doit être produit ?	Une finalité précise et compréhensible
Quelle donnée change réellement ce résultat ?	Un champ nécessaire, avec sa justification
Une valeur moins précise suffit-elle ?	Une catégorie, une tranche ou un indicateur plutôt que la donnée brute
Le traitement peut-il rester local ?	Aucun transfert externe si le résultat peut être calculé sur place
Combien de temps le résultat reste-t-il utile ?	Une durée et une règle d’effacement applicables

Par exemple, un rappel de rendez-vous peut avoir besoin d’un canal de contact et d’une heure. Il n’a pas besoin du dossier complet de la personne. Un test de prototype peut commencer avec des données fictives ou synthétiques lorsque celles-ci permettent de vérifier le comportement recherché. [S2]

Examiner tout le cycle de vie

1. Collecter

Listez chaque champ et la finalité qu’il sert. Retirez les champs « au cas où », limitez les sources aux données autorisées et définissez les critères de collecte avant un éventuel moissonnage. Supprimez rapidement ce qui est identifié comme non pertinent. [S1] [S3]

2. Transformer

Demandez si la donnée brute peut être remplacée par une forme moins précise. Une tranche d’âge peut suffire à la place d’une date de naissance. Une caractéristique extraite peut parfois remplacer le document source, à condition de vérifier que cette transformation répond au besoin et ne permet pas une réidentification non prévue. [S3]

3. Transmettre

Construisez la charge utile à partir d’une liste autorisée de champs. N’envoyez pas un objet complet vers un modèle, une API ou un outil lorsque trois valeurs suffisent. Vérifiez aussi les pièces jointes, métadonnées, en-têtes et historiques ajoutés automatiquement.

4. Donner accès

Accordez à chaque personne, service et outil uniquement les données nécessaires à son rôle. Le masquage dans l’interface ne remplace pas un contrôle d’accès appliqué avant la lecture ou la récupération.

5. Journaliser

Un journal peut recréer la donnée que le traitement principal a retirée. Enregistrez l’identifiant technique, l’état et la cause utiles au diagnostic. Évitez les demandes, documents et réponses brutes lorsque des valeurs expurgées suffisent. La CNIL recommande aussi de limiter et tracer les duplications inévitables. [S3]

6. Conserver puis supprimer

Fixez une durée selon la finalité, appliquez-la à chaque copie et prévoyez un effacement automatique. Une donnée extraite pour une analyse, une sauvegarde ou une maintenance ne doit pas échapper à la même politique. Une prolongation doit répondre à un besoin réel, rester limitée et être suivie dans le temps. [S1] [S3]

Appliquer la minimisation à un workflow IA

Un workflow IA multiplie parfois les surfaces : demande utilisateur, document récupéré, contexte envoyé au modèle, appel d’outil, réponse, trace et jeu d’évaluation. Faites l’inventaire de chaque surface avant de choisir le fournisseur ou le modèle.

1. Utilisez des exemples fictifs pour concevoir. Introduisez des données personnelles seulement si le test ne peut pas être réalisé autrement. [S2]
2. Filtrez avant l’envoi. Retirez les champs inutiles dans du code contrôlable, pas seulement dans une consigne adressée au modèle.
3. Réduisez le contexte. Transmettez les passages et attributs nécessaires à la demande, sans ajouter tout le profil ou tout l’historique.
4. Séparez identité et contenu. Utilisez un identifiant interne lorsque le nom ou les coordonnées n’apportent rien au traitement.
5. Cadrez les outils. Donnez à l’agent des opérations et des données limitées à la tâche en cours.
6. Maîtrisez les traces. Définissez ce que le fournisseur, l’application et les outils enregistrent, où, pendant combien de temps et qui peut le consulter.
7. Testez l’effacement. Vérifiez qu’une suppression atteint la source, les index, les caches, les exports, les jeux d’évaluation et les sauvegardes selon le délai annoncé.

Vérifier que la réduction reste utile

Une réduction n’est démontrée que si elle diminue l’exposition sans casser le résultat attendu.

• comparez la liste des champs avant et après le changement ;
• mesurez le volume transmis, les copies créées et leur durée de conservation ;
• rejouez des cas normaux, limites et sensibles ;
• vérifiez la qualité du résultat avec et sans chaque donnée contestée ;
• contrôlez qu’une personne ou un espace ne peut pas récupérer les données d’un autre ;
• testez l’effacement sur toutes les surfaces annoncées ;
• réexaminez la nécessité lorsque la finalité, le modèle ou le fournisseur change.

La CNIL précise que les données et métadonnées peuvent perdre leur caractère pertinent au fil du temps. La minimisation est donc une vérification régulière, pas un nettoyage effectué une seule fois. [S3]

Limites à garder visibles

• La pseudonymisation réduit certains risques, mais les données restent personnelles si une réidentification demeure possible. [S1] [S4]
• L’anonymisation ne peut pas être affirmée parce que les noms ont été retirés. Elle exige de rendre l’identification impossible en pratique et de vérifier le risque de réidentification dans le contexte disponible. [S4]
• Une donnée publique n’est pas automatiquement nécessaire à votre finalité.
• Le chiffrement protège une donnée conservée ou transmise, mais ne justifie pas sa collecte.
• Moins de données peut dégrader la qualité ou masquer un biais. Mesurez cet effet au lieu de supposer que la réduction est toujours neutre. [S2]
• La minimisation ne rend pas les données anonymes. Les données pseudonymisées restent soumises aux obligations applicables aux données personnelles. [S1] [S4]

Commencez par une table simple : finalité, donnée, justification, destinataire, durée et règle d’effacement. Toute case vide révèle une donnée à retirer ou une décision à rendre explicite.