Qu'est-ce qu'une donnée personnelle exactement ?

Le RGPD, règlement général sur la protection des données, s'applique dès qu'une organisation traite des données personnelles. Encore faut-il savoir ce que recouvre l'expression. Beaucoup d'entreprises pensent n'en manipuler que quelques-unes, alors qu'elles en produisent chaque jour. Cet article donne des repères généraux et ne constitue pas un conseil juridique.

Comment reconnaître une donnée personnelle ?

Une donnée personnelle est une information qui se rapporte à une personne physique identifiée ou identifiable. Le test tient en une question : cette information permet-elle, seule ou combinée à une autre, de remonter jusqu'à quelqu'un ?

• Identification directe : nom et prénom, photo du visage, adresse e-mail nominative, numéro de téléphone.
• Identification indirecte : numéro de client, plaque d'immatriculation, adresse IP, identifiant déposé par un traceur, matricule interne.
• Identification par recoupement : « le responsable des achats de notre agence de Nantes » ne cite personne, mais désigne une personne précise.

Seules les personnes physiques sont visées. Le numéro SIREN d'une entreprise cliente ou son chiffre d'affaires ne sont pas des données personnelles. En revanche, le nom et l'adresse e-mail de votre interlocuteur chez ce client en sont, même s'il s'agit d'une adresse professionnelle. C'est une confusion fréquente dans les fichiers commerciaux.

Quelles données bénéficient d'une protection renforcée ?

Le règlement isole des catégories dites sensibles, dont le traitement est en principe interdit sauf exceptions prévues par les textes. D'autres données obéissent à un régime particulier.

Avant de collecter l'une de ces informations, vérifiez que vous y êtes autorisé. La CNIL publie des fiches par situation, et une question précise mérite un conseil juridique.

Pseudonymisé n'est pas anonyme

La pseudonymisation consiste à remplacer les éléments identifiants par un code, tout en conservant ailleurs la table de correspondance. Les données restent personnelles : quelqu'un peut encore faire le lien. Le RGPD continue de s'appliquer.

L'anonymisation va plus loin : le lien est rompu définitivement, pour tout le monde, sans possibilité de recoupement. Des données réellement anonymes sortent du champ du règlement. En pratique, une anonymisation solide est difficile à obtenir. Remplacer les noms par des numéros ne suffit pas si la date de naissance, le code postal et le poste occupé permettent de retrouver la personne.

Les données que l'on oublie de compter

• les journaux du serveur web, qui enregistrent les adresses IP des visiteurs ;
• les images de vidéosurveillance et les passages de badges ;
• la géolocalisation des véhicules de service ;
• les enregistrements d'appels et les messageries vocales ;
• les candidatures spontanées reçues par e-mail ;
• les tableurs de suivi conservés sur un poste ou dans un espace partagé.

Par où commencer ?

1. Parcourez vos outils un par un : site, messagerie, comptabilité, logiciel de paie, espaces partagés.
2. Pour chacun, notez quelles informations sur des personnes y figurent réellement.
3. Repérez les catégories sensibles et vérifiez que leur présence est justifiée.
4. Inscrivez chaque usage dans votre registre des traitements.
5. Supprimez ce qui ne sert plus : la donnée la mieux protégée est celle que vous ne conservez pas.

Selon les cas, la qualification d'une donnée demande un examen au cas par cas : appuyez-vous sur les ressources de la CNIL. NexSecure peut réaliser cet inventaire avec vous dans le cadre de son offre de conformité RGPD.