Données personnelles : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement (nom, photo) ou indirectement (numéro de téléphone, adresse IP, numéro d'adhérent, combinaison de plusieurs éléments).
Ce qu'il faut comprendre
La notion est volontairement large. Elle couvre les informations évidentes, comme le nom, l'adresse ou la date de naissance, mais aussi un identifiant en ligne, des données de localisation, une voix enregistrée ou une image. Une information est personnelle dès qu'elle permet, seule ou croisée avec d'autres, de reconnaître une personne. Le support importe peu : papier, fichier informatique, enregistrement vidéo ou audio.
L'identifiabilité s'apprécie au regard des moyens raisonnablement susceptibles d'être utilisés pour identifier la personne. Une donnée pseudonymisée, par exemple un dossier où le nom est remplacé par un code, reste une donnée personnelle tant que la correspondance existe quelque part. Seule une donnée réellement anonymisée, pour laquelle la réidentification est impossible, sort du champ du RGPD.
Le RGPD protège uniquement les personnes physiques. Les informations sur une personne morale, comme le numéro SIREN ou le chiffre d'affaires d'une société, ne sont pas des données personnelles. En revanche, l'adresse e-mail nominative d'un salarié, du type prenom.nom@entreprise.fr, en est une, même dans un contexte professionnel. C'est une erreur fréquente en prospection auprès des entreprises.
Exemple concret
Une association sportive tient un tableau avec le nom des licenciés, leur date de naissance, le téléphone des parents et le certificat médical de chacun. Toutes ces informations sont des données personnelles ; le certificat médical relève en plus des données de santé. La photo d'équipe publiée sur le site de l'association est elle aussi une donnée personnelle des joueurs reconnaissables.
Textes de référence
- RGPD, art. 4, 1)
- RGPD, considérant 26
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
