Qu’est-ce qu’une donnée à caractère personnel ?

Le Règlement Général sur la Protection des Données (RGPD) a été mis en place dans le but d’encadrer et de protéger les données à caractère personnel sur le territoire de l’Union Européenne.

Sur notre territoire le RGPD s’inscrit dans la continuité de la Loi française Informatique et Libertés de 1978 afin de renforcer le contrôle de l’utilisation des données des citoyens.

Mais qu’entend-t-on par donnée à caractère personnel (DPC), couramment désignée comme donnée personnelle ?

Qu’est-ce qu’une donnée à caractère personnel ?

Concrètement la CNIL caractérise une donnée personnelle comme “toute information se rapportant à une personne identifiée ou identifiable”.

Dès lors qu’une opération est effectuée sur ce type de donnée (collecte, conservation, modification, transmission, diffusion etc), cela constitue un traitement des données et doit ainsi répondre aux exigences établies par le RGPD.

A partir de quelles données une personne peut-elle être identifiée ?

Les données à caractère personnel peuvent permettre d’identifier une personne de deux manières :

• directement : nom, prénom
• indirectement : grâce à un numéro de téléphone, à un identifiant, à une image, à la voix, à des éléments physiques, génétiques, physiologique, psychiques, économiques ou sociaux propre à une personne

 

Qu’est-ce qu’une personne physique identifiable ?

Ces données permettent deux niveaux d’identification d’une personne physique :

• depuis une seule donnée, exemple : numéro de sécurité sociale, empreinte digitale
• depuis le croisement de plusieurs données, exemple : sexe + adresse + date de naissance + appartenance à une association

 

Par conséquent, lorsqu’une ou plusieurs informations permettent de remonter l’identité d’une personne, elles peuvent être qualifiées de données à caractère personnel. Et dès lors qu’elles sont collectées, utilisées ou conservées par un organisme ces données sont concernées par le RGPD.

Ceci implique que des données qui, à l’origine, ne permettaient pas d’identifier un individu, peuvent le devenir lorsqu’elles sont croisées avec d’autres informations collectées.

Par exemple en tant qu’entreprise, dans le cadre d’une action marketing, vous pouvez être amené à recueillir des informations différentes telles que : la localisation, l’âge, le sexe, le domaine d’activité, des comportements d’achat etc.
Indépendamment les unes des autres, ces informations ne permettent aucune identification. Pourtant en les croisant il est possible de remonter à une identité unique.

L’anonymisation des données personnelles