Données personnelles : définition

Une donnée personnelle désigne toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, par référence à un identifiant tel qu’un nom, un numéro d’identification, une adresse email, des données de localisation ou un identifiant en ligne. L’identification indirecte inclut les cas où une personne devient identifiable par le croisement de plusieurs informations qui, prises séparément, ne le permettraient pas.

Catégories de données personnelles

Le RGPD distingue les données personnelles ordinaires des catégories particulières de données, souvent appelées données sensibles, qui bénéficient d’une protection renforcée : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques utilisées aux fins d’identifier une personne de manière unique, données concernant la santé, la vie sexuelle ou l’orientation sexuelle. Le traitement de ces catégories est en principe interdit, sauf exceptions strictement définies par le RGPD, dont le consentement explicite de la personne concernée dans certains cas.

Distinction avec les données anonymisées

Une donnée devient anonymisée lorsque le processus de transformation appliqué rend impossible, compte tenu des moyens raisonnablement susceptibles d’être utilisés, la réidentification de la personne concernée. Une donnée anonymisée sort du champ d’application du RGPD, contrairement à une donnée simplement pseudonymisée, qui reste une donnée personnelle puisque la réidentification demeure possible avec une information supplémentaire conservée séparément.

Application en contexte B2B

Les informations concernant une société en tant que personne morale, comme sa raison sociale, son numéro SIREN ou son chiffre d’affaires, ne constituent généralement pas des données personnelles. En revanche, une adresse de type [email protected], un numéro direct ou un nom associé à une fonction permettent d’identifier une personne physique et relèvent donc des données personnelles, même dans un contexte professionnel.

Limites

La frontière entre donnée identifiante et donnée non identifiante n’est pas toujours évidente à tracer : une information en apparence anodine peut devenir identifiante si elle est croisée avec d’autres sources disponibles. Cette appréciation peut varier selon le contexte, les sources accessibles et la capacité raisonnable d’un acteur à recouper les informations disponibles.

Voir aussi

RGPD
Consentement utilisateur
Données anonymisées

Sources et références

CNIL. Les données personnelles : définition et critères d’identification directe ou indirecte.

Règlement (UE) 2016/679, article 4 : définition des données à caractère personnel.

Règlement (UE) 2016/679, article 9 : catégories particulières de données à caractère personnel.