Qu'est-ce qu'une donnée personnelle au sens du RGPD ?

La définition du RGPD

Selon l'article 4 du règlement, une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable, appelée « personne concernée ». Est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant (un nom, un numéro d'identification, des données de localisation, un identifiant en ligne) ou à un ou plusieurs éléments propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. Cette définition est volontairement large : elle ne dépend ni du support (papier, numérique, son, image), ni du caractère public ou privé de l'information, ni de sa sensibilité apparente.

Identification directe ou indirecte

Une personne est identifiée directement quand l'information la désigne sans ambiguïté, comme son nom et son prénom ou sa photo. Elle est identifiable indirectement lorsqu'on peut la retrouver en croisant plusieurs informations ou en utilisant une donnée intermédiaire : un numéro de dossier, une plaque d'immatriculation, ou même un ensemble de caractéristiques comme « la seule femme ingénieure de 45 ans travaillant sur le site de Lens ». Le considérant 26 précise qu'il faut tenir compte de l'ensemble des moyens raisonnablement susceptibles d'être utilisés pour identifier la personne, par le responsable ou par un tiers, au regard du coût, du temps nécessaire et des technologies disponibles.

Le cas de l'adresse IP

Dans son arrêt Breyer du 19 octobre 2016 (affaire C-582/14), la Cour de justice de l'Union européenne a jugé qu'une adresse IP dynamique peut constituer une donnée personnelle pour l'exploitant d'un site, dès lors qu'il dispose de moyens légaux pour identifier la personne, par exemple en s'adressant au fournisseur d'accès en cas d'attaque. En pratique, les journaux de connexion d'un site internet, les identifiants de cookies et les identifiants publicitaires des téléphones sont traités comme des données personnelles par la CNIL.

Données pseudonymisées et données anonymes

La pseudonymisation consiste à remplacer les éléments identifiants par un code (un numéro de patient à la place du nom, par exemple), la clé de correspondance étant conservée séparément et protégée. C'est une excellente mesure de sécurité, encouragée par le RGPD, mais les données pseudonymisées restent des données personnelles puisqu'il est possible de remonter à la personne. L'anonymisation, au contraire, rend la réidentification impossible de manière irréversible : des statistiques agrégées, des moyennes ou des données suffisamment généralisées. Seules les données réellement anonymes échappent au règlement, et la CNIL rappelle que l'anonymisation est difficile à réussir : supprimer le nom d'un fichier détaillé ne suffit presque jamais.

Une évolution en discussion

Le projet européen de simplification présenté en novembre 2025 proposait de préciser, dans la définition elle-même, qu'une information n'est pas personnelle pour un organisme qui n'a raisonnablement aucun moyen d'identifier la personne. Le Conseil de l'Union a écarté cette modification dans sa position du 21 octobre 2026 et le texte reste en négociation. À la date de vérification, la définition de l'article 4 s'applique telle qu'elle est rédigée depuis 2016, éclairée par la jurisprudence de la Cour de justice.

Les catégories qui méritent une attention particulière

Certaines informations bénéficient d'une protection renforcée parce que leur utilisation peut porter gravement atteinte aux libertés ou entraîner des discriminations. L'article 9 vise les données sensibles : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques utilisées pour identifier une personne, données de santé, vie sexuelle ou orientation sexuelle. Leur traitement est en principe interdit, sauf exceptions limitativement énumérées. L'article 10 encadre de son côté les données relatives aux condamnations pénales et aux infractions, que seules certaines autorités ou personnes habilitées peuvent traiter.

Le numéro de sécurité sociale

En France, le numéro d'inscription au répertoire national d'identification des personnes physiques, dit NIR ou numéro de sécurité sociale, fait l'objet d'un encadrement spécifique par la loi Informatique et Libertés et par un décret qui liste les organismes autorisés à l'utiliser et les finalités permises : l'employeur pour la paie et les déclarations sociales, les professionnels de santé, les organismes de protection sociale. Une entreprise ne peut pas s'en servir comme identifiant client ou le demander pour une simple inscription.

Les informations sur les entreprises sont-elles concernées ?

Les données relatives aux personnes morales (raison sociale, numéro SIREN, chiffre d'affaires, adresse du siège) ne sont pas des données personnelles. La frontière est toutefois fine : l'adresse électronique prénom.nom@entreprise.fr, le numéro de ligne directe d'un salarié, le nom du dirigeant ou les informations sur un entrepreneur individuel ou un auto-entrepreneur se rapportent à une personne physique et entrent dans le champ du RGPD. C'est pour cela que la prospection entre professionnels est elle aussi encadrée, avec des règles adaptées détaillées dans le guide de la prospection commerciale.

Quelques cas pratiques pour s'entraîner

Une photo de groupe publiée sur la page d'un club sportif contient des données personnelles dès que les visages sont reconnaissables. Le relevé de consommation électrique d'un logement occupé par une seule famille en est une, car il renseigne sur les habitudes de ses occupants. Une statistique indiquant que « 62 % des clients ont commandé en ligne en 2026 » n'en est pas une. Un fichier de candidatures dont les noms ont été remplacés par des numéros, mais qui conserve les parcours détaillés, reste une donnée personnelle pseudonymisée. Enfin, les données d'une personne décédée ne sont pas protégées par le RGPD lui-même, mais la loi Informatique et Libertés prévoit en France des directives relatives à leur sort après la mort.

Les données de géolocalisation et les métadonnées

Certaines données personnelles passent inaperçues parce qu'elles ne contiennent ni nom ni photo. Les données de localisation issues d'un téléphone, d'un véhicule ou d'un badge révèlent pourtant les habitudes d'une personne, son lieu de travail, son domicile, ses fréquentations. Les métadonnées des communications (qui appelle qui, quand, combien de temps) ou d'un fichier photo (date, lieu, appareil) sont tout aussi parlantes. La Cour de justice a souligné à plusieurs reprises, à propos de la conservation des données de connexion, que leur combinaison permet de tirer des conclusions très précises sur la vie privée des personnes. Pour le RGPD, ces informations sont des données personnelles dès lors qu'elles se rattachent à une personne identifiable, même indirectement, et leur collecte doit respecter les mêmes principes que celle d'un nom ou d'une adresse.

Les données de consommation et des objets connectés

Un compteur communicant relève la consommation d'électricité d'un foyer à intervalles réguliers ; une montre connectée enregistre le rythme cardiaque et le sommeil ; une voiture récente transmet sa position, sa vitesse et l'état de ses équipements. Ces flux, souvent présentés comme techniques, sont des données personnelles dès lors qu'ils se rapportent à un usager identifiable. Lorsqu'ils révèlent un état de santé, ils deviennent même des données sensibles. Le règlement européen sur les données, applicable depuis septembre 2025, donne aux utilisateurs de produits connectés un droit d'accès renforcé à ces données, en complément du RGPD.

Les données vocales et biométriques

La voix enregistrée par un assistant vocal ou un centre d'appels est une donnée personnelle ; lorsqu'elle est analysée pour identifier une personne de façon unique, elle devient une donnée biométrique soumise à l'article 9. Il en va de même des empreintes digitales utilisées pour déverrouiller un téléphone professionnel ou pointer à l'entrée d'un site, ou de la reconnaissance faciale.

Données personnelles et documents de l'entreprise

Dans une entreprise, les données personnelles ne se trouvent pas seulement dans les bases clients ou les logiciels de paie. Elles sont aussi dispersées dans des documents de travail : comptes rendus de réunion qui citent des participants, courriels, devis, contrats, photos de chantier où apparaissent des personnes, enregistrements de visioconférences, tableaux de suivi partagés. Lors d'une demande d'accès ou d'une cartographie des traitements, ces sources sont souvent oubliées. Une bonne pratique consiste à identifier les principaux « gisements » de données non structurées et à leur appliquer, comme aux bases structurées, des règles d'accès et de conservation.

Les adresses électroniques et numéros professionnels

L'adresse prénom.nom@entreprise.fr, le numéro de ligne directe ou de téléphone portable professionnel d'un salarié sont des données personnelles du salarié. Ils peuvent être utilisés pour les besoins de l'activité, mais leur diffusion publique, par exemple sur un site, suppose une réflexion sur la nécessité et, dans certains cas, l'accord de la personne. Les adresses génériques (contact@, commandes@) ne posent pas cette difficulté, sauf si elles sont utilisées par une seule personne identifiable.

Les données des représentants des entreprises clientes

Une entreprise qui travaille en B2B traite les données des interlocuteurs de ses clients et fournisseurs : nom, fonction, coordonnées professionnelles. Ces données relèvent du RGPD, avec des règles allégées pour la prospection, mais avec les mêmes obligations d'information, de sécurité et de conservation.

Les cas limites tranchés par la jurisprudence

La Cour de justice de l'Union a eu de nombreuses occasions de préciser les contours de la notion. Elle a jugé que les réponses écrites d'un candidat à un examen professionnel et les annotations du correcteur constituent des données personnelles du candidat (arrêt Nowak du 20 décembre 2017, affaire C-434/16), ce qui lui ouvre un droit d'accès à sa copie. Elle a admis qu'un identifiant attribué par un tiers peut constituer une donnée personnelle pour celui qui a les moyens de le relier à une personne. Elle a aussi rappelé que des informations sur une personne morale peuvent devenir personnelles lorsque son nom identifie une personne physique, comme pour une entreprise individuelle. Ces décisions confirment une approche large et contextuelle, qui s'apprécie toujours au regard des moyens dont disposent le responsable et les tiers.

Pourquoi cette définition large est une bonne nouvelle

Une définition large peut sembler contraignante pour les organismes, mais elle a une vertu de simplicité : en cas de doute, il faut traiter l'information comme une donnée personnelle et lui appliquer les principes du RGPD. Cette approche évite des débats sans fin sur le caractère identifiant de chaque champ et conduit à des pratiques plus sûres. Elle protège aussi les organismes eux-mêmes, car une donnée considérée à tort comme anonyme et diffusée sans précaution peut, une fois recoupée avec d'autres sources, permettre d'identifier des personnes et constituer une violation. Les techniques d'anonymisation solides, comme l'agrégation ou la généralisation, restent possibles et utiles, à condition d'être évaluées sérieusement.

Le test des trois questions

Pour trancher rapidement, trois questions suffisent dans la plupart des cas : l'information concerne-t-elle une personne physique, cette personne peut-elle être retrouvée avec des moyens raisonnables par moi ou par un tiers, et l'information reste-t-elle rattachable à elle une fois combinée avec d'autres données dont je dispose. Une réponse positive aux trois appelle l'application du RGPD.

Les données personnelles dans la vie d'une entreprise

Une petite entreprise manipule des données personnelles dans presque toutes ses activités. Les fichiers clients et prospects contiennent des noms, des coordonnées, des historiques d'achats et parfois des notes commerciales. Les dossiers du personnel rassemblent l'état civil, le numéro de sécurité sociale, les coordonnées bancaires, les évaluations et les absences. Les échanges avec les fournisseurs comportent le nom et les coordonnées des interlocuteurs. Le site internet collecte des adresses électroniques, des adresses IP et des données de navigation. Les outils du quotidien, comme la messagerie, l'agenda partagé, le logiciel de comptabilité, la téléphonie ou la vidéosurveillance, en produisent en continu. Recenser ces flux est la première étape d'une mise en conformité, car on ne peut pas protéger ce qu'on ne connaît pas.

Les données des interlocuteurs professionnels

Les coordonnées professionnelles d'un salarié d'une autre entreprise restent des données personnelles : son nom, son adresse électronique nominative et son numéro de ligne directe l'identifient. Le RGPD s'applique donc aussi en prospection entre entreprises, même si les règles de consentement y sont assouplies. Seules les informations relatives à la personne morale elle-même, comme sa raison sociale, son numéro SIREN ou l'adresse électronique générique d'un service, sortent du champ du règlement.

Les données publiques restent protégées

Une donnée accessible publiquement, sur un réseau social, un annuaire ou un site d'entreprise, reste une donnée personnelle. Sa réutilisation suppose une base légale, une information des personnes et le respect de la finalité dans laquelle elle a été rendue publique. La CNIL a ainsi rappelé que l'aspiration massive de profils en ligne pour constituer un fichier de prospection, sans information des personnes, est contraire au RGPD.

Les données des personnes décédées

Le RGPD ne s'applique pas aux données des personnes décédées, comme le précise son considérant 27, mais laisse les États libres de prévoir des règles. La France l'a fait avec la loi pour une République numérique de 2016, intégrée à l'article 85 de la loi Informatique et Libertés : chacun peut définir des directives générales ou particulières sur la conservation, l'effacement et la communication de ses données après son décès, et désigner une personne chargée de les exécuter. En l'absence de directives, les héritiers peuvent exercer certains droits, notamment pour organiser la succession, clôturer les comptes ou faire mettre à jour les informations. Les grandes plateformes proposent désormais des réglages de compte commémoratif ou de contact légataire qui s'inscrivent dans cette logique.

Les données d'enfants

Les enfants bénéficient d'une protection spécifique, car ils sont moins conscients des risques et de leurs droits (considérant 38). Pour les services de la société de l'information proposés directement aux mineurs et fondés sur le consentement, l'article 8 fixe un âge de consentement numérique que les États peuvent placer entre 13 et 16 ans ; la France l'a fixé à 15 ans, en dessous duquel le consentement conjoint de l'enfant et du titulaire de l'autorité parentale est requis. L'information doit être rédigée dans un langage que l'enfant peut comprendre, le profilage publicitaire des mineurs est interdit sur les plateformes par le règlement sur les services numériques, et le droit à l'effacement est renforcé pour les données collectées pendant l'enfance. La CNIL a publié huit recommandations pour renforcer la protection des mineurs en ligne, qui insistent sur l'accompagnement parental respectueux de l'intérêt de l'enfant.

Vérifier si l'on traite des données personnelles

En cas de doute, quelques questions permettent de trancher. La donnée concerne-t-elle une personne physique vivante ? Cette personne peut-elle être identifiée, directement ou en croisant la donnée avec d'autres informations dont dispose l'organisme ou un tiers par des moyens raisonnables ? La donnée a-t-elle été réellement anonymisée, de manière irréversible, ou seulement pseudonymisée ? Si la réponse aux deux premières questions est positive et que l'anonymisation n'est pas avérée, le RGPD s'applique. Dans la pratique, il vaut mieux considérer qu'une donnée est personnelle et appliquer les règles que de parier sur une anonymisation fragile.