L’article 25 impose aux organisations d’intégrer la protection des données dès la phase de conception d’un traitement ou d’un produit, et de ne traiter que les données strictement nécessaires, par défaut.
Et concrètement, ça veut dire quoi ?
La protection des données ne doit pas être une option à activer plus tard : elle doit être intégrée dès le départ, comme une brique de base. Par défaut, un traitement ne doit collecter que ce qui est utile, ni plus ni moins. Par exemple, une application ne doit pas demander l’adresse postale si une simple adresse e-mail suffit. C’est une façon de penser “protection des données” dès le premier clic, pas une fois que tout est déjà lancé.