Analyser la nécessité et la proportionnalité d’une mesure : mode d’emploi de la grille conçue par Estelle De Marco

Attribution

La grille d’analyse de nécessité et de proportionnalité a été conçue par Estelle De Marco. Docteure en droit privé et sciences criminelles, elle dirige Inthemis, cabinet qu’elle a fondé en 2009, spécialisé en éthique juridique des technologies de l’information et en conformité en matière de protection des données ; elle enseigne le droit et l’éthique des données personnelles dans l’enseignement supérieur, a conduit les volets juridiques et éthiques de projets de recherche cofinancés par l’Union européenne et a publié sur l’analyse d’impact sur la vie privée (« A DPIA is a PIA », 2019) et sur les technologies de surveillance de masse (rapport pour les Verts/ALE au Parlement européen, 2022). La version utilisée ici est le classeur Guide d’analyse de nécessité et de proportionnalité, version 1.1 du 20 septembre 2026, mis à disposition sous licence CC BY 4.0. Chaque application de la grille par l’Institut citera Estelle De Marco comme auteure de l’outil.

La présente note (sélection des explications, protocole d’utilisation, mise en forme et limites) est un travail de l’Institut National de Bitcoin, relu et amendé par Estelle De Marco concernant l’explication de la méthode et la raison d’être de l’analyse de nécessité et de proportionnalité dans un PIA (analyse d’impact sur la vie privée), sa relation avec les autres éléments de ce dernier (et leur présentation) et sa relation avec le droit positif. Cette relecture ne vaut ni validation des affirmations juridiques et du protocole d’instruction propres à l’INBi, ni co-signature, ni approbation d’une future application : les applications de la grille par l’Institut et leurs conclusions relèvent de sa seule responsabilité.

---

Résumé

Une mesure peut être conforme aux règles qui encadrent son exécution et néanmoins être inutile ou excessive. Pour le déterminer, il faut préciser le besoin auquel elle répond, établir son efficacité, rechercher des moyens moins attentatoires et vérifier que les atteintes résiduelles demeurent justifiées et effectivement encadrées.

La grille conçue par Estelle De Marco transforme ce raisonnement en une instruction documentée. Elle est conçue pour examiner « toute mesure ou projet ayant un impact sur les libertés » : action, publication, fermeture d’un accès, traitement de données personnelles ou non. Elle organise le test en quatre séquences (finalité, efficacité, minimisation et garanties), complétées par un bilan distinct. Elle demande d’étayer les réponses et de traiter les opinions contraires. Le protocole d’instruction ajouté par l’INBi renforce cette contradiction en recherchant l’objection la plus solide. La conclusion dit ce que le dossier établit et ce qu’il n’établit pas ; elle ne dit pas si la mesure est licite, ce qui n’appartient qu’au juge.

La portée opératoire de la grille tient à deux exigences. Une mesure qui vide un droit de son contenu essentiel échoue au test ; il en va de même lorsque le besoin peut être satisfait par une alternative moins intrusive d’efficacité au moins équivalente. Et les atteintes résiduelles doivent demeurer inférieures ou égales au bénéfice effectivement démontré, que la grille demande de chiffrer.

L’outil s’inscrit dans l’analyse d’impact sur la vie privée, dont l’analyse d’impact relative à la protection des données du RGPD constitue un cas particulier (point 3). Il peut structurer l’examen d’une obligation légale, d’un projet technique ou d’une politique interne qui affecte des droits ou des libertés ; le champ d’application des normes mobilisées se vérifie au cas par cas (point 2).

Cette note expose la méthode et son protocole d’utilisation. Elle ne conclut sur aucun dispositif particulier. Ses applications à des dispositifs déterminés feront l’objet de notes séparées, chacune sous sa propre instruction et son propre contrôle éditorial.

---

1. La question à laquelle répond la grille

Le test répond à une question simple en apparence :

Comment déterminer, de manière traçable et contradictoire, si une mesure qui limite des droits ou des libertés est réellement nécessaire et proportionnée au besoin qu’elle prétend satisfaire ?

L’intuition (« cette mesure paraît excessive ») ne suffit pas. Il faut définir ce qui est examiné, identifier le droit affecté, préciser le besoin invoqué, réunir les preuves d’efficacité, instruire les alternatives et expliciter la mise en balance finale.

La grille sert à rendre ce chemin contrôlable par un tiers. Elle ne présume ni que la mesure est légitime, ni qu’elle est illégitime.

2. Le fondement juridique du test

Le test de nécessité et de proportionnalité relève du droit positif. L’article 52, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne subordonne les limitations apportées aux droits de la Charte à quatre conditions cumulatives : être prévues par la loi, respecter le contenu essentiel des droits concernés, être nécessaires et répondre effectivement à un objectif d’intérêt général ou au besoin de protection des droits d’autrui, le tout dans le respect du principe de proportionnalité. Lorsqu’une mesure affecte la vie privée, l’article 8 de la Convention européenne des droits de l’homme exige de la même manière que l’ingérence soit prévue par la loi, poursuive l’un des buts qu’il énumère et soit nécessaire dans une société démocratique.

Dans la grille, cette condition de légalité fonde l’exigence de garanties normatives examinée au point 5.4.

Ces exigences relèvent du droit primaire : les normes fondamentales que les États et l’Union doivent respecter lorsque leur action peut affecter les libertés, portées par la Convention et par la Charte. Pour les droits consacrés dans les deux textes, l’article 52, paragraphe 3, de la Charte leur donne les mêmes sens et portée que ceux que leur confère la Convention, le droit de l’Union pouvant accorder une protection plus étendue. Le test de nécessité et de proportionnalité s’adosse à ce droit primaire ; l’analyse de conformité vise, elle, le droit dérivé applicable à la situation (point 3).

Le champ d’application se vérifie avant d’invoquer une norme. La Convention couvre les États du Conseil de l’Europe ; la Charte (article 51) s’adresse aux institutions et organes de l’Union ainsi qu’aux États membres lorsqu’ils mettent en œuvre le droit de l’Union. La norme applicable dépend donc de l’auteur de la mesure et de son rattachement au droit de l’Union. Pour un acte de l’Union, la Charte s’applique directement, la Convention donnant le sens et le niveau minimal des droits correspondants : l’Union n’est pas partie à la Convention et l’adhésion prévue par l’article 6, paragraphe 2, du traité sur l’Union européenne reste en cours, de sorte que l’exigence conventionnelle n’atteint ses actes que par ce canal. Pour une mesure nationale mettant en œuvre le droit de l’Union, Charte, Constitution et Convention s’appliquent selon leurs champs respectifs. Pour une mesure nationale sans rattachement suffisant au droit de l’Union, la Charte n’est pas applicable ; la Constitution, le droit national et la Convention le sont. Pour une politique privée, la norme opposable relève du droit dérivé (RGPD, droit du travail, contrat ou autre régime national ou européen), l’exigence conventionnelle jouant alors par l’obligation positive faite aux États de faire respecter ces exigences entre personnes privées : la grille y demeure une méthode d’instruction à part entière.

Le juge national apprécie en outre la conformité des mesures nationales à la Convention. Tant qu’aucune décision n’a écarté la norme en cause, la norme opposable à la situation reste toutefois le droit dérivé, d’où la nécessité de mener l’analyse de conformité et le test de nécessité et de proportionnalité en parallèle.

Dans le champ des données personnelles, le RGPD impose la minimisation des données à son article 5, paragraphe 1, point c), et inclut, à l’article 35, paragraphe 7, point b), l’évaluation de la nécessité et de la proportionnalité dans le contenu d’une analyse d’impact relative à la protection des données.

Le modèle d’analyse d’impact du Comité européen de la protection des données va dans le même sens. Sa section 3, « Considerations on necessity and proportionality », demande d’évaluer si le traitement est efficace et le moins intrusif pour les droits et libertés des personnes concernées, d’apporter des preuves, notamment sur les alternatives envisagées et leur efficacité, puis de comparer les impacts sur les droits aux avantages retirés du traitement. Le document explicatif précise en outre que la nécessité est une condition préalable de la proportionnalité.

Ce modèle a été adopté le 10 mars 2026 en version 1.0, aux fins de consultation publique, puis publié le 14 avril 2026 et soumis à consultation jusqu’au 9 juin 2026 ; il doit être finalisé sous réserve des modifications retenues. À la date de la présente note, aucune version consolidée postérieure à la consultation n’a été publiée.

La grille rend ce contrôle opératoire. Elle prolonge notamment le travail public d’Estelle De Marco sur la place du test dans une analyse d’impact, exposé dans « A DPIA is a PIA: consequences in terms of implementation and scope ».

3. Trois examens à ne pas confondre

Dans l’analyse publique d’Estelle De Marco citée ci-dessus, une analyse d’impact complète articule trois travaux qui utilisent la même description du dispositif, mais ne répondent pas à la même question :

1. La conformité vérifie le respect du droit spécifiquement et formellement applicable : base juridique, information, droits des personnes, sécurité, durées ou gouvernance.
2. La nécessité et la proportionnalité demandent si la mesure elle-même est justifiée, utile, suffisamment ciblée et équilibrée, soit ce que devrait exiger la norme spécifique si elle avait été écrite pour la situation concrète examinée, selon la formule de l’auteure.
3. L’analyse de risque étudie les dommages susceptibles de survenir et les moyens de les réduire ; elle prolonge l’examen de proportionnalité et gagne à être menée conjointement avec l’analyse de risque du système d’information, qui prend rarement en compte les impacts sur les libertés.

Ensemble, ces trois travaux forment une analyse d’impact sur la vie privée (AIVP ; en anglais privacy impact assessment, PIA). Dans ce cadre, qui est celui de l’auteure et que la présente note retient, l’analyse d’impact relative à la protection des données de l’article 35 du RGPD est le cas particulier où le droit dérivé applicable est le RGPD ; elle est déclenchée par un risque élevé pour les droits et libertés (article 35, paragraphe 1). La présente note publie la seule composante nécessité-et-proportionnalité de cette analyse d’ensemble ; elle n’est pas un PIA complet. Elle emploie PIA pour l’analyse d’ensemble et AIPD pour l’objet juridique de l’article 35.

Cette analyse relève surtout que le deuxième travail manque le plus souvent : on s’arrête à la conformité en croyant avoir fait le test.

Une mesure correctement exécutée peut pourtant rester trop étendue. Inversement, réussir le test de nécessité et de proportionnalité ne dispense pas de la conformité ni de l’analyse de risque lorsqu’elles sont requises.

Cette décomposition organise le contenu minimal de l’article 35, paragraphe 7, du RGPD : description systématique du traitement et de ses finalités ; évaluation de la nécessité et de la proportionnalité au regard de ces finalités ; évaluation des risques pour les droits et libertés ; mesures envisagées pour traiter ces risques. Elle n’y ajoute aucune condition.

Le test peut aussi être conduit de façon autonome lorsque le RGPD ne constitue pas le cadre principal : par exemple pour examiner une obligation réglementaire ou une mesure publique. Il faut alors identifier le fondement juridique pertinent et ne pas présenter la grille comme une extension automatique du RGPD.

4. Avant le test : définir exactement la mesure

Le premier risque méthodologique est de tester un objet trop vague. « La surveillance », « l’intelligence artificielle » ou « l’euro numérique » ne sont pas des unités d’analyse suffisantes. Il faut décrire une opération ou une obligation déterminée.

L’onglet Cartographie du classeur demande une description factuelle détaillée et invite notamment à préciser :

• l’objectif général et le ou les effets directs attendus ;
• la nature de la mesure et, s’il y a traitement de données, les catégories de données et de personnes concernées ainsi que, si le RGPD s’applique, la base juridique retenue ;
• le ou les responsables de la mesure, les personnes chargées de sa mise en œuvre et les sous-traitants ;
• les sources et méthodes de collecte, les destinataires et les raisons pour lesquelles chaque catégorie de données est collectée, traitée ou consultée ;
• les supports, opérations, lieux de stockage et transferts hors Union ou hors Conseil de l’Europe ;
• l’événement qui déclenche la mise en œuvre, les durées de conservation ou d’application et la méthode de suppression ou de terminaison ;
• les mesures de sécurité et les garanties destinées à limiter tout impact indu sur les libertés.

Le classeur apporte à cette étape une réponse pratique au problème de l’unité d’analyse : lorsque plusieurs sous-mesures méritent un examen séparé, la grille peut être dupliquée, la colonne Code permettant d’attribuer un identifiant distinct à chaque feuille. Plutôt que d’élargir l’objet, on le découpe.

L’instruction impose enfin l’examen des effets cumulés. Lorsque la mesure s’ajoute à des dispositifs existants qui pèsent sur les mêmes personnes, l’atteinte s’apprécie aussi dans son accumulation : mesure par mesure d’abord, puis au niveau de la charge totale. Comparer chaque atteinte isolément à des bénéfices agrégés au niveau du système entier fait disparaître l’essentiel de ce que le test doit voir.

5. Le raisonnement en quatre temps

Le classeur nomme ses quatre blocs CC1 Nécessité, CC2 Proportionnalité, CC3 Bilan de proportionnalité et CC4 Garanties. Les intitulés employés ci-dessous (finalité, efficacité, minimisation, garanties) sont une présentation retenue par l’INBi pour la lecture publique ; ils recouvrent le même contenu :

Séquence de la présente note	Bloc du classeur
5.1 Finalité	CC1-1 : besoin social impérieux, actions ultérieures, finalité légitime, gravité, immédiateté, urgence
5.2 Efficacité	CC1-2 : efficacité de la réponse, mesures existantes, plus-value
5.3 Minimisation	CC2 : contexte (2-1), étendue (2-2), nature et alternatives (2-3)
→ point 6. Bilan	CC3 : bénéfices démontrés et chiffrés / impacts et leur ampleur
5.4 Garanties	CC4 : transparence contraignante (4-1), mécanismes de mise en œuvre et de contrôle (4-2)

Le tableau suit l’ordre du classeur, où le bilan (CC3) précède les garanties (CC4) : le bilan compare les bénéfices aux impacts une fois les correctifs appliqués, et les garanties assurent ensuite que ces correctifs seront effectivement mis en œuvre. La présente note traite les garanties au 5.4 et le bilan au point 6, d’où le renvoi.

Les deux premières séquences établissent la nécessité ; les suivantes permettent d’examiner la proportionnalité. Cette architecture rend le test praticable, mais ne prétend pas épuiser toutes les classifications juridiques possibles. L’auteure précise elle-même, dans l’onglet Introduction du classeur, qu’une organisation différente des questions est tout aussi légitime. L’intensité du contrôle dépend notamment du droit affecté, de la gravité de l’atteinte, de l’acteur concerné et de la jurisprudence applicable.

5.1 Finalité : quel besoin réel ?

La première étape consiste à formuler le besoin auquel la mesure doit répondre. Un objectif général (sécurité, lutte contre la fraude, efficacité administrative) ne permet pas encore de déterminer ce qui est nécessaire. Le classeur parle de « besoin social impérieux » : un besoin spécifique, situé à l’intérieur de la sphère plus large de l’objectif poursuivi, et démontré.

L’instruction doit préciser :

• l’effet direct recherché, la finalité qui l’exprime et les documents où elle est consignée ;
• la légitimité de la finalité, appréciée au regard de la liste des buts que la Convention admet pour limiter la liberté concernée ;
• la gravité, l’immédiateté ou l’urgence du problème ;
• les conséquences documentées de l’inaction, distinguées de ce qui est seulement présumé ;
• les opérations ultérieures déjà envisagées et la question de savoir si elles répondent au même besoin.

Ce dernier point protège l’analyse contre l’extension progressive des finalités : une finalité seulement déclarative, ou susceptible de s’étendre au fil du temps, empêche de fixer une limite contrôlable. La grille demande d’ailleurs que les garanties prévues à ce stade préviennent tout détournement de finalité.

5.2 Efficacité : la mesure répond-elle au besoin ?

Un objectif légitime ne rend pas nécessaire n’importe quel moyen. Il faut établir que la mesure est capable de produire l’effet recherché, examiner les dispositifs déjà en place et leur efficacité, puis démontrer la plus-value propre de la mesure nouvelle.

L’analyse distingue les résultats attendus des résultats observés. Elle précise la qualité des données, les incertitudes, les échecs possibles et les conditions dont dépend l’efficacité. Plus l’atteinte est importante, plus la preuve attendue doit être robuste : le classeur demande une évaluation « très rigoureuse » lorsque des données sensibles sont en jeu.

5.3 Minimisation : existe-t-il un moyen moins attentatoire ?

La troisième étape recherche la forme la moins intrusive qui conserve une efficacité au moins comparable, ou le niveau d’efficacité requis pour répondre au besoin. L’examen porte notamment sur :

• les attentes raisonnables des personnes quant à la confidentialité ou à l’exercice de la liberté concernée, et le lien entre la mesure et l’activité qui la déclenche ;
• les caractéristiques des personnes touchées : âge, vulnérabilité, capacité à anticiper la mesure, à la contester et à faire valoir leurs droits ;
• le caractère adapté de la mesure à la gravité du besoin identifié ;
• la légitimité des comportements que la mesure restreint et l’importance du droit limité ;
• les personnes, lieux et sources effectivement concernés ;
• les catégories et le volume de données, ainsi que le degré d’identification qu’elles permettent ;
• le nombre de personnes ayant accès et les motifs d’accès ;
• les déclencheurs, la fréquence et la durée d’effectivité de la limitation ;
• le respect du contenu essentiel du droit limité ;
• les alternatives praticables et moins attentatoires.

Le classeur formule à cette étape deux règles de décision :

1. Si le contenu essentiel du droit est atteint, c’est-à-dire si le droit ne peut plus être exercé, le test de proportionnalité échoue. Aucune garantie ne rattrape une extinction de droit.
2. Si le besoin peut être satisfait de manière au moins équivalente par une mesure de nature moins intrusive, le test échoue également.

C’est ce qui interdit d’écarter une alternative par une affirmation générale. Son efficacité, sa faisabilité et les raisons documentées de son rejet doivent être établies, et les alternatives doivent être décrites même en cas de doute.

5.4 Garanties : les limites seront-elles effectives ?

Une promesse de modération ne suffit pas. La grille distingue deux dimensions :

• une règle claire, accessible, stable et prévisible, capable de contraindre les acteurs et de permettre aux personnes d’anticiper la mesure, ses effets possibles et les voies de recours dont elles disposent ;
• des mécanismes techniques, organisationnels, juridiques et, le cas échéant, financiers assurant l’exécution des limites, le contrôle, le recours, la limitation des durées de conservation et la suppression effective à leur terme.

La grille emploie l’expression « transparence contraignante » pour la première dimension. Le classeur indique explicitement que cette notion est celle de l’auteure de la grille ; elle ne doit donc pas être présentée comme la terminologie d’une juridiction. La notion recouvre en revanche une exigence classique, celle de légalité rappelée au point 2 : une mesure « prévue par la loi » suppose une base normative accessible, dont les effets sont prévisibles et qui protège contre l’arbitraire. La grille adosse ce volet à la jurisprudence européenne sur la qualité de la loi et sur l’effectivité du recours.

Les garanties rendent effectives les limites décidées ; elles ne rendent pas acceptable une atteinte qui ne l’est pas. Une mesure inefficace, une collecte sans limite pertinente ou une atteinte au contenu essentiel d’un droit ne se corrige pas par une simple information des personnes.

6. Le bilan de proportionnalité

Le classeur prévoit un bilan distinct après l’instruction, sous la forme d’un tableau à deux colonnes :

• à gauche, la liste des bénéfices démontrés de la mesure, chiffrés ;
• à droite, la liste des impacts sur les libertés, associés à leur ampleur (nombre de personnes concernées, durée, gravité), en tenant compte des correctifs identifiés comme devant être mis en œuvre.

La règle de comparaison est explicite : les impacts doivent rester inférieurs ou égaux aux bénéfices effectivement retirés de la mesure. Ces bénéfices s’apprécient au regard de l’importance démontrée du besoin et de l’efficacité démontrée de la mesure : un besoin faible ne peut pas justifier un impact élevé. Le classeur en tire la conséquence : lorsque l’intrusion dépasse le bénéfice, la mesure doit faire l’objet de modifications ou de correctifs complémentaires.

Pour ses applications, l’INBi restitue ce bilan sous l’une des quatre formes suivantes :

1. la nécessité et la proportionnalité sont suffisamment établies ;
2. elles ne le sont qu’à certaines conditions précisément formulées ;
3. les preuves disponibles ne permettent pas de conclure ;
4. la mesure échoue à une étape déterminante du test, ce qui dit si son principe (nécessité) ou ses seules modalités (minimisation) sont en cause.

Le champ Confiance du registre d’instruction (point 7, règle 3) commande l’accès à la première de ces issues : une question déterminante restée « incertain » ou « non documenté » oriente la conclusion vers la deuxième ou la troisième tant qu’elle n’est pas levée.

La grille organise le raisonnement ; elle ne confère pas à son utilisateur le pouvoir de déclarer, à elle seule, une mesure licite ou illicite.

7. Un protocole d’instruction traçable

Le dispositif décrit ici est un protocole d’instruction ajouté par l’INBi. Il ne fait pas partie du classeur d’Estelle De Marco et ne doit pas lui être attribué. Il sert à garder la trace du travail pendant qu’on le fait, de façon qu’un tiers puisse remonter chaque affirmation jusqu’à sa source. Il ne constitue pas un format de note publiée.

Il reprend les six rubriques que le classeur ouvre sous chaque question (état et justification, preuve, opinions contraires, mesures de conservation ou correctives en place, mesures de conservation ou correctives proposées, garanties) en les répartissant sur deux registres, parce qu’elles ne se tiennent pas au même niveau. Certaines se renseignent question par question. Les autres valent pour la mesure entière : une alternative ou une garantie ne se rattache pas à une question, elle se compare au dispositif complet.

Le registre de questions. Pour chaque question déterminante :

Champ	Contenu attendu
Fait	Ce qui est observé ou établi sur la mesure
Source	Le texte, la décision, la donnée ou le document le plus direct disponible
Règle	La norme invoquée, citée à l’article ou au point exact. Distinguer le droit primaire qui fonde l’exigence (Convention, Charte) du droit dérivé opposable à la situation examinée (RGPD, droit du travail, contrat, texte sectoriel), les deux pouvant devoir être renseignés
Interprétation	Le raisonnement qui relie le fait à la règle
Objection	La thèse contraire la plus solide, et les éléments qui la soutiennent
Confiance	Établi, probable, incertain, non documenté

Le registre transversal. Tenu une fois pour l’analyse entière, chaque entrée portant sa nature :

Nature	Contenu attendu
Alternative	Un moyen différent de satisfaire le besoin, son efficacité attendue et sa faisabilité
Correctif en place	Une réduction de l’atteinte déjà mise en œuvre
Correctif proposé	Une réduction identifiée comme devant être mise en œuvre
Garantie	Ce qui rend la limite effective et contrôlable

La distinction entre correctif en place et correctif proposé porte à conséquence. Le bilan du classeur compare les impacts aux bénéfices en tenant compte des correctifs identifiés comme devant être mis en œuvre, donc de ceux qui restent à faire.

Les règles d’instruction.

1. Une réponse sans preuve reste une lacune. Elle n’est pas fausse pour autant, mais elle ne peut pas porter seule la conclusion. Le classeur va plus loin : lorsque la preuve est partielle ou non localisée, il demande de proposer une mesure corrective.
2. La contradiction fait partie du test. Une objection sérieuse doit être réfutée par des éléments vérifiables, ou intégrée à la conclusion.
3. Le champ Confiance commande la conclusion. Une question déterminante renseignée « incertain » ou « non documenté » interdit de conclure que la nécessité et la proportionnalité sont établies. Elle conduit soit à la deuxième issue du point 6, sous condition explicitement formulée, soit à la troisième, où les preuves disponibles ne permettent pas de conclure.
4. L’instruction est itérative. Une alternative peut conduire à reformuler la finalité ; une preuve d’efficacité insuffisante peut modifier toute la mise en balance ; une garantie nouvelle peut réduire l’impact résiduel.

À la date de publication, ce protocole n’a pas encore été exercé sur un cas complet. Il est publié dans cet état, comme une proposition à éprouver.

8. Comment parcourir le classeur

La version 1.1 comprend quatre onglets :

• Introduction, ajouté dans cette version, expose la méthode sous la plume de son auteure : notions de droit primaire, de nécessité et de proportionnalité, place de l’analyse dans un PIA, raisons de la référence première à la Convention, structure des rubriques ouvertes sous chaque question, le tout avec ses références ; la présente note y renvoie pour l’explication d’origine plutôt que de la reproduire ;
• Cartographie fixe le périmètre et décrit le dispositif ;
• Analyse N & P instruit la nécessité, la proportionnalité, le bilan et les garanties ;
• Références analyse N & P fournit les ancrages du raisonnement, à vérifier et à compléter.

Le quatrième onglet situe la grille dans son appareil de références : chaque exigence y renvoie à une source identifiée, de l’avis 01/2014 du groupe de travail « Article 29 » sur la nécessité et la proportionnalité dans le secteur répressif aux outils du Contrôleur européen de la protection des données de 2017 et 2019, en passant par une série de décisions de la Cour européenne des droits de l’homme et de la Cour de justice de l’Union européenne. On peut ainsi contester une exigence en remontant à sa source.

Téléchargement de la grille : Guide_Analyse-necessite-proportionnalite_v1.1.xlsx, classeur Guide d’analyse de nécessité et de proportionnalité, version 1.1 du 20 septembre 2026, mis à disposition tel que fourni par l’auteure, sous licence CC BY 4.0. L’auteure précise qu’il s’agit d’« une première version, qui pourra être complétée ultérieurement ».

Pour citer l’outil : Estelle De Marco, Guide d’analyse de nécessité et de proportionnalité (grille d’analyse), classeur, version 1.1 du 20 septembre 2026, https://inbi.fr/wp-content/uploads/2026/09/Guide_Analyse-necessite-proportionnalite_v1.1.xlsx, sous licence CC BY 4.0.

La licence est indiquée pour le classeur et ses contenus. Elle ne revient pas à revendiquer une exclusivité sur le principe juridique abstrait du test de nécessité et de proportionnalité. Toute adaptation du fichier doit identifier la version utilisée, maintenir l’attribution, signaler clairement les modifications et conserver un lien vers le matériau d’origine. Le code juridique de la licence reste la référence complète.

9. Objections sérieuses à une mise en grille

« La proportionnalité est trop contextuelle pour être enfermée dans un tableau »

L’objection est fondée si le tableau devient un barème. L’usage proposé est autre : la grille ne fixe ni pondération universelle ni seuil numérique. Elle rend visibles les questions, les preuves et les désaccords, tout en laissant la mise en balance dépendre du contexte et du droit applicable. Son caractère itératif permet de revenir sur la définition du besoin ou de la mesure.

« Une nouvelle grille ajoute du formalisme sans améliorer la décision »

Le risque existe lorsque les réponses se réduisent à des affirmations ou à des cases cochées. Le protocole ne vaut que s’il oblige à produire les sources, les alternatives et la contradiction. Son utilité tient moins au nombre de rubriques qu’à la traçabilité de ce qui permet ou empêche de conclure.

« L’auteur d’une mesure peut toujours justifier ses propres choix »

Aucun outil ne supprime ce biais. La grille le rend toutefois plus contrôlable en demandant l’examen des solutions moins attentatoires et des opinions contraires. Le protocole ajouté par l’INBi sépare en outre faits, règles et interprétations et conserve les objections non résolues. Pour ses propres analyses à enjeu, le protocole éditorial de l’INBi impose une revue indépendante ; le remplissage de la grille ne constitue pas une preuve d’impartialité.

« Les modèles d’AIPD existants rendent cet outil redondant »

Une AIPD couvre un ensemble plus large : description du traitement, conformité, nécessité et proportionnalité, puis risques et mesures de traitement. Mais un modèle d’AIPD standardise avant tout le compte rendu de cet examen : il fixe ce qui doit figurer au dossier, sans prescrire la manière de conduire le test.

Le modèle du Comité européen l’illustre bien. Sa section consacrée à la nécessité et à la proportionnalité tient en deux consignes (évaluer si le traitement est efficace et le moins intrusif ; mettre en balance impacts et avantages, preuves à l’appui), complétées par un tableau d’identification des menaces. Pour la méthode elle-même, il renvoie en note de bas de page aux deux outils du Contrôleur européen de la protection des données, celui de 2017 sur la nécessité et celui de 2019 sur la proportionnalité.

Or la grille s’appuie sur ces mêmes ancrages ; elle complète le modèle plus qu’elle ne le concurrence. Là où celui-ci fixe le contenu du dossier, elle détaille la démarche : le besoin à démontrer, la preuve à produire, l’objection à traiter, l’alternative à instruire, les correctifs et garanties à prévoir, et les deux situations dans lesquelles le test échoue. Elle reste enfin utilisable lorsque l’unité d’analyse est une mesure publique ou réglementaire plutôt qu’un traitement particulier.

« Faire de l’analyse d’impact du RGPD un cas du PIA inverse la lecture courante »

Une partie de la pratique part de l’article 35 du RGPD et traite les autres analyses comme ses extensions. La présente note retient le cadrage inverse, qui est celui de l’auteure de la grille : l’analyse d’impact sur la vie privée est l’analyse d’ensemble, celle de l’article 35 son cas particulier lorsque le droit dérivé applicable est le RGPD. Ce choix éditorial est assumé par l’INBi ; il tient à l’objet de la note, des mesures qui ne sont pas toutes des traitements de données, et n’emporte aucune conséquence sur le contenu du test, identique dans les deux lectures. L’ancrage positif demeure : l’article 35, paragraphe 7, point b), inscrit l’évaluation de la nécessité et de la proportionnalité dans le droit applicable aux traitements (point 2).

« Un bilan chiffré promet plus qu’il ne peut tenir »

L’objection est double. Sans unité de mesure commune entre bénéfices et atteintes, la règle « impacts inférieurs ou égaux aux bénéfices démontrés » serait soit une image, soit un calcul arbitraire paré d’objectivité. Et un objectif défini à partir du moyen retenu (« permettre l’identification automatique et universelle » au lieu de « réduire la fraude grave ») rend par construction toute alternative moins intrusive « non équivalente », neutralisant l’une des deux conditions d’échec. La règle appartient au classeur et la note la restitue telle quelle ; le bilan qu’elle organise reste une comparaison argumentée, dont les issues du point 6 disent les seules sorties possibles, non un score (point 10). Le protocole d’instruction ajoute trois contrôles de son côté : formuler l’objectif en résultat social et non en moyen ; n’admettre au bilan que des alternatives concrètes et réalisables dans le délai pertinent ; instruire aussi les alternatives légèrement moins efficaces mais substantiellement moins attentatoires.

10. Ce que la grille ne fait pas

La grille :

• n’est pas un score automatique ;
• n’est pas un avis juridique attaché à une situation particulière ;
• ne remplace pas une AIPD complète lorsque celle-ci est obligatoire ;
• ne remplace pas l’analyse des risques résiduels ;
• ne dispense pas de déterminer le droit applicable ;
• ne transforme pas une hypothèse non documentée en preuve ;
• ne garantit pas qu’une autorité ou une juridiction partagera la conclusion.

La classification proposée est une organisation possible du raisonnement. D’autres ordres peuvent être légitimes si la finalité, l’efficacité, les alternatives, les atteintes, la mise en balance et les garanties sont effectivement instruites.

11. Limites de cette note

Cette première publication porte exclusivement sur la méthode. Elle ne permet donc pas d’évaluer sa robustesse sur tous les domaines possibles. Sa portée dépend de la qualité des preuves réunies et de la définition de l’unité d’analyse.

La grille s’appuie sur la jurisprudence de la Cour européenne des droits de l’homme et de la Cour de justice de l’Union européenne, qui n’ont pas à ce jour statué sur tous les sujets d’actualité.

Le registre d’instruction du point 7 n’a pas encore été exercé sur un cas complet. Il est publié en version expérimentale (v0.1), comme une proposition à éprouver ; la première note d’application, publiée séparément, en sera l’épreuve.

Le vocabulaire des questions de la grille, comme celui de cette note, reste marqué par son origine : la protection des données et de la vie privée. Le droit primaire mobilisé couvre nativement d’autres droits (propriété, liberté d’entreprendre, égalité, recours effectif), mais l’outillage ne les décline pas encore en questions dédiées ; des modules par famille de droits restent à construire, avec l’auteure de la grille. Appliquée hors du champ des données, la grille est précise sur les données et plus sommaire sur le reste.

La note présente la grille ; elle ne la reproduit pas. Le lecteur qui souhaite l’appliquer doit se reporter au classeur, dont chaque question ouvre des rubriques plus détaillées que ce que cette présentation restitue.

Les références juridiques utilisées dans cette note ont été collationnées sur leurs sources primaires : le modèle d’analyse d’impact du Comité européen et son document explicatif dans leur version 1.0 du 10 mars 2026, ainsi que le guide du Contrôleur européen sur la nécessité et ses lignes directrices sur la proportionnalité.

---

Sources principales

• Charte des droits fondamentaux de l’Union européenne, notamment art. 7, 8, 51 et 52 : EUR-Lex.
• Convention européenne des droits de l’homme, art. 8 : Cour européenne des droits de l’homme.
• Traité sur l’Union européenne, art. 6 : EUR-Lex.
• Conseil de l’Europe, « Adhésion de l’UE à la CEDH (groupe “46+1”) », état du processus d’adhésion : coe.int.
• Règlement (UE) 2016/679, notamment art. 5 et 35 : EUR-Lex.
• Groupe de travail « Article 29 », Avis 01/2014 sur l’application des notions de nécessité et de proportionnalité et la protection des données dans le secteur répressif, WP211, 27 février 2014 : texte français.
• Groupe de travail « Article 29 », Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD), WP248 rev.01, reprises par le CEPD : CEPD.
• Contrôleur européen de la protection des données, Guide pour l’évaluation de la nécessité des mesures limitant le droit fondamental à la protection des données à caractère personnel, 11 avril 2017 : version française.
• Contrôleur européen de la protection des données, Lignes directrices portant sur l’évaluation du caractère proportionné des mesures limitant les droits fondamentaux à la vie privée et à la protection des données à caractère personnel, décembre 2019 : version française.
• Comité européen de la protection des données, EDPB DPIA Template, version 1.0, adoptée le 10 mars 2026 aux fins de consultation publique, publiée le 14 avril 2026, consultation close le 9 juin 2026 : modèle et document explicatif, depuis la page de la consultation.
• Estelle De Marco, « A DPIA is a PIA: consequences in terms of implementation and scope », mars 2019, publication rédigée dans le cadre du projet INFORM (GA n° 763866), mise en ligne sur Inthemis le 3 juin 2021 : Inthemis.
• Estelle De Marco, Guide d’analyse de nécessité et de proportionnalité (grille d’analyse), classeur, version 1.1 du 20 septembre 2026, CC BY 4.0 : https://inbi.fr/wp-content/uploads/2026/09/Guide_Analyse-necessite-proportionnalite_v1.1.xlsx ; onglets Introduction et Références analyse N & P pour l’appareil de références sous-jacent.