Qu'est-ce qu'une donnée à caractère personnel ?

Définition #

Selon l’article 4 du RGPD :

Toute information se rapportant à une personne physique identifiée ou identifiable.

Une personne physique identifiable est une personne physique qui peut être idenfiée directement ou indirectement via :

• un nom
• un numéro d’identification
• des données de localisation
• un identifiant en ligne
• ou à d’autres éléments liés à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Qu’elle soit confidentielle ou publique, de nature privée ou professionnelle, toute information qui correspond à cette définition est considérée comme une donnée à caractère personnel.

3 types de données personnelles #

Les données directement identifiantes #

Les données personnelles sont directement identifiantes si elles sont associées à un élément indiquant clairement l’identité de la personne. Il peut s’agir :

• d’un nom
• d’un prénom
• d’un email nominatif
• d’une photo
• etc.

Exemples de documents sur lesquels figurent ce type de données :

• fiches de paie
• factures
• relevés de compte bancaire
• fichiers clients
• devis
• etc.

Les données indirectement identifiantes #

Dans certains fichiers, les noms et les prénoms des personnes sont remplacés par un identifiant :

• numéro client
• numéro de téléphone
• etc.

Ces données ne permettent pas de savoir à qui correspondent les informations.

En revanche, lorsqu’elles sont associées à une autre base de données détenue en interne ou par tout autre tiers, comme le fichier client de l’entreprise ou l’annuaire téléphonique, il est possible d’accéder à des données directement identifiantes et donc de retrouver l’identité de la personne.

Les combinaisons d’informations #

Certaines informations ne suffisent pas ni directement ni indirectement d’identifier une personne.

En revance, la combinaison de ces informations peut parfois permettre d’identifier de manière unique une seule personne.

L’exemple d’une enquête #

Une enquête qui interroge un groupe de personne même de façon anonyme peut permettre d’identifier des personnes surtout si ces personnes sont sélectionnées en amont par une caractéristique pré-déterminée.

Même une enquête qui porte sur un grand nombre de personnes interrogées au hasard peut contenir des réponses qui combinées entre elles peuvent permetttre de retrouver l’identité des sondés. C’est le cas notamment lorsque les questions sont très nombreuses et précises.

Sources utilisées pour cet article #

• L’atelier RGPD de la CNIL
• Le site de la CNIL