Votre nom, bien sûr. Mais aussi votre plaque d’immatriculation, la voix que vous laissez sur un répondeur ou l’adresse IP de votre box. Tout cela peut constituer une donnée à caractère personnel.
La notion est bien plus large qu’on ne l’imagine. Et c’est elle qui décide si le RGPD s’applique, ou non, à un fichier, une application ou un simple tableur.
La définition légale, hier et aujourd’hui
La France a été pionnière. La loi Informatique et Libertés du 6 janvier 1978 visait déjà toute information relative à une personne physique identifiée ou identifiable, directement ou indirectement, par un numéro d’identification ou par des éléments qui lui sont propres.
Depuis le 25 mai 2018, la référence est l’article 4 du Règlement général sur la protection des données (RGPD). Il définit la donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable.
Le texte précise qu’une personne est identifiable lorsqu’on peut la reconnaître grâce à un identifiant (nom, numéro, données de localisation, identifiant en ligne) ou à des éléments propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
Le mot qui compte, c’est « identifiable ». Une information isolée qui ne dit rien de personne peut devenir une donnée personnelle dès qu’on la croise avec d’autres.
Exemples concrets
| Information | Donnée personnelle ? | Pourquoi |
|---|---|---|
| Nom et prénom | Oui | Identification directe |
| Adresse mail prenom.nom@… | Oui | Elle renvoie à une personne précise |
| Numéro de téléphone | Oui | Identification indirecte via l’abonné |
| Plaque d’immatriculation | Oui | Reliée au titulaire du certificat |
| Photo, enregistrement de voix | Oui | Éléments propres à la personne |
| Adresse IP | Le plus souvent | Identification possible avec d’autres données |
| Raison sociale d’une société | Non en principe | Elle vise une personne morale |
| Statistiques réellement anonymisées | Non | Plus aucune identification possible |
Petit piège fréquent : un fichier où les noms ont été remplacés par des codes reste soumis au RGPD si quelqu’un garde la table de correspondance. On parle alors de pseudonymisation, pas d’anonymisation.
Les données sensibles, une catégorie à part
Certaines informations sont jugées plus risquées. L’article 9 du RGPD interdit en principe de traiter les données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques et l’appartenance syndicale.
La liste comprend aussi les données génétiques, les données biométriques servant à identifier une personne, les données de santé et celles concernant la vie sexuelle ou l’orientation sexuelle.
Des exceptions existent (consentement explicite, obligations en droit du travail, intérêt public en santé…), mais elles sont encadrées. Les données relatives aux condamnations pénales et aux infractions suivent elles aussi un régime spécial.
Ce que la qualification change pour vous
Dès qu’une information est une donnée personnelle, celui qui la traite devient responsable de traitement. Il doit avoir une base légale, informer les personnes, limiter la durée de conservation et sécuriser les fichiers.
Les anciennes formalités préalables ont presque toutes disparu en 2018. Si vous cherchez l’historique, vous pouvez lire notre article sur la déclaration à la CNIL, remplacée par une logique de responsabilité et de documentation interne.
Côté personnes concernées, la qualification ouvre des droits : accès, opposition, effacement, portabilité. Le droit de rectification permet par exemple d’exiger la correction d’une information inexacte.
Ces droits servent tous les jours, notamment contre le démarchage. Nous détaillons ce point dans notre guide sur les droits des personnes prospectées.
Ils jouent aussi au travail. Les messages et les journaux de connexion d’un salarié contiennent des données personnelles, ce qui encadre l’e-mail et le contrôle des salariés par l’employeur.
Une notion au service de la vie privée
Franchement, la meilleure attitude, c’est de partir du principe qu’une information sur une personne est une donnée personnelle tant que vous n’avez pas prouvé le contraire. Les entreprises qui raisonnent à l’envers se retrouvent souvent en difficulté lors d’un contrôle.
Cette définition large traduit une idée simple : protéger la vie privée de chacun face à des outils qui collectent toujours plus.
Questions fréquentes sur les données à caractère personnel
Une adresse IP est-elle une donnée personnelle ?
Dans la grande majorité des cas, oui. La Cour de justice de l’Union européenne a admis qu’une adresse IP, même dynamique, peut permettre d’identifier une personne lorsqu’elle est croisée avec d’autres informations accessibles. Mieux vaut donc la traiter comme une donnée personnelle.
Les informations sur une entreprise sont-elles des données personnelles ?
Les données d’une personne morale, comme la raison sociale ou le numéro SIREN d’une société, ne le sont pas en principe. Mais l’adresse mail nominative d’un salarié ou les informations d’un entrepreneur individuel visent une personne physique et entrent dans la définition.
Quelle différence entre donnée pseudonymisée et donnée anonyme ?
Une donnée pseudonymisée reste une donnée personnelle, car on peut encore relier l’information à la personne avec une clé ou un fichier séparé. Une donnée vraiment anonymisée ne permet plus aucune identification et sort du champ du RGPD.
Quel texte définit aujourd’hui la donnée personnelle ?
C’est l’article 4 du RGPD, applicable depuis le 25 mai 2018 dans toute l’Union européenne. La loi Informatique et Libertés du 6 janvier 1978, modifiée, renvoie désormais à cette définition.
