Données personnelles : définition, exemples et cas limites

Fichier clients, planning d'équipe, journal de connexions : avant de protéger ces informations, il faut savoir si elles relèvent du RGPD. Tout dépend d'une qualification, celle de données personnelles. Cet article traite de cette seule notion et de ses cas limites. Pour une présentation générale du règlement, consultez notre article RGPD : définition, obligations et mise en conformité.

Qu'est-ce qu'une donnée personnelle selon le RGPD ?

Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable. Son format et son caractère public ou confidentiel importent peu : seul compte le lien avec une personne. La définition figure à l'article 4, point 1, du règlement (UE) 2016/679.

Le considérant 26 précise la méthode : pour savoir si une personne est identifiable, on tient compte de l'ensemble des moyens raisonnablement susceptibles d'être utilisés, par le responsable du traitement ou par un tiers. C'est ce critère qui rend le périmètre des données personnelles plus large qu'on ne l'imagine souvent.

Identification directe ou indirecte : quelle différence ?

Une personne est identifiée directement lorsqu'une seule information suffit à la désigner, comme ses nom et prénom. Elle est identifiable indirectement lorsqu'il faut un identifiant ou un croisement d'informations pour remonter jusqu'à elle. Dans les deux cas, le RGPD s'applique.

• Identification directe : nom et prénom, photographie du visage.
• Identification indirecte par un identifiant : numéro de téléphone, numéro de sécurité sociale, plaque d'immatriculation, numéro client, identifiant de cookie.
• Identification indirecte par croisement : âge, commune et poste occupé, qui pris séparément ne désignent personne mais, réunis, peuvent isoler un individu.

Exemples concrets en entreprise

Chaque service manipule des données personnelles. Voici des exemples courants, cohérents avec la page de la CNIL Identifier les données.

Données sensibles : une catégorie à part

Parmi ces informations, l'article 9 du RGPD distingue des catégories particulières : l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques, les données biométriques utilisées pour identifier une personne de manière unique, les données de santé et celles concernant la vie sexuelle ou l'orientation sexuelle. Leur traitement est interdit sauf exceptions prévues par ce même article. Pour les situations propres aux salariés, voir notre guide RGPD et ressources humaines.

Pseudonymisation ou anonymisation : les données restent-elles personnelles ?

Des données pseudonymisées restent en principe des données à caractère personnel, car une clé permet de retrouver les personnes. Seules des données véritablement anonymisées, c'est-à-dire rendues non identifiantes de façon irréversible, sortent du champ du RGPD.

L'article 4, point 5, définit la pseudonymisation : les données ne peuvent plus être attribuées à une personne sans informations supplémentaires, conservées séparément et protégées. Le Comité européen de la protection des données a précisé ce régime dans ses lignes directrices 01/2025. L'anonymisation obéit à une exigence plus stricte : selon la CNIL, un jeu de données n'est anonyme que s'il satisfait trois critères.

• Individualisation : il ne doit pas être possible d'isoler un individu.
• Corrélation : il ne doit pas être possible de relier des ensembles de données distincts concernant une même personne.
• Inférence : il ne doit pas être possible de déduire, de façon quasi certaine, de nouvelles informations sur une personne.

La Cour de justice de l'Union européenne a apporté une nuance dans son arrêt du 4 septembre 2025 (C-413/23 P) : des données pseudonymisées peuvent ne pas être personnelles pour un destinataire qui n'a aucun moyen raisonnable de réidentifier les personnes. Elles le restent en revanche pour le responsable qui détient la clé, et l'obligation d'informer les personnes s'apprécie de son point de vue, au moment de la collecte. Remplacer un nom par un code ne vous dispense donc d'aucune obligation sur vos propres données personnelles.

Les cas limites qui posent question

Une adresse IP est-elle une donnée personnelle ?

Oui, dans la plupart des situations. La CNIL la mentionne dans ses exemples, et la Cour de justice a jugé dans l'arrêt Breyer du 19 octobre 2016 (C-582/14) qu'une adresse IP dynamique constitue une donnée à caractère personnel pour l'exploitant d'un site qui dispose de moyens légaux de faire identifier l'internaute grâce aux informations de son fournisseur d'accès.

Une donnée professionnelle est-elle protégée ?

Oui, dès lors qu'elle se rapporte à une personne physique. Une adresse prénom.nom@entreprise.fr ou une ligne directe identifient un salarié, même dans un cadre professionnel. À l'inverse, la CNIL indique que la dénomination d'une société, son adresse postale, le numéro de son standard ou une adresse générique de type contact@ ne relèvent pas du RGPD.

Les données d'une personne morale sont-elles concernées ?

Non. Le considérant 14 du RGPD exclut les données relatives aux personnes morales, notamment leur nom, leur forme juridique et leurs coordonnées. La vigilance s'impose toutefois lorsque la raison sociale reprend le nom d'une personne physique, comme pour un entrepreneur individuel : les informations sur la structure peuvent alors se rapporter directement à cette personne, et celles qui concernent les dirigeants et salariés restent des données personnelles.

L'avis conjoint est présenté par la CNIL. En cas de doute sur un fichier, appliquez le raisonnement du considérant 26 : qui pourrait identifier les personnes, et avec quels moyens raisonnables ?

À retenir

• Toute information liée à une personne physique identifiée ou identifiable relève du RGPD, qu'elle soit publique ou non.
• L'identification peut être indirecte, par un identifiant ou par le croisement de plusieurs informations.
• Les données pseudonymisées restent soumises au RGPD pour qui détient la clé ; seule une anonymisation irréversible en sort.
• Adresse IP, email nominatif et coordonnées professionnelles d'un salarié relèvent du RGPD, pas les coordonnées génériques d'une société.