Donnée personnelle : définition et 20 exemples 2026

L’essentiel. Une donnée personnelle (ou « donnée à caractère personnel ») est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Cette définition de l’article 4(1) du RGPD est le point de bascule de toute la réglementation : dès que vous traitez une donnée personnelle, l’ensemble du RGPD s’applique. Ni les personnes morales, ni les données anonymisées de façon irréversible ne sont couvertes.

Savoir qualifier une donnée personnelle est la compétence la plus fondamentale du RGPD, parce qu’elle commande tout le reste. Si l’information est personnelle, vous devez une base légale, une information transparente, un registre, la garantie des droits des personnes, et vous vous exposez aux sanctions de l’article 83. Si elle ne l’est pas, le règlement ne s’applique pas. Ce guide explique la définition, la distingue de l’anonymisation, en donne vingt exemples concrets et répond aux cas limites que je rencontre le plus souvent en conseil.

La définition de la donnée personnelle au sens du RGPD

Le RGPD pose la définition de référence à son article 4(1) :

« On entend par “données à caractère personnel” toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. »

Cette définition couvre toute information se rapportant à une personne. Trois limites la bornent :

• elle ne concerne pas les personnes morales (une société n’a pas de données personnelles ; ses salariés, si) ;
• elle ne concerne pas les personnes décédées au sens du RGPD (considérant 27), sous réserve des dispositions spécifiques de la loi Informatique et Libertés française ;
• elle ne s’applique pas aux données anonymisées de manière irréversible.

En dehors de ces limites, son champ est très large : nom, e-mail, photo, numéro de téléphone, adresse IP, identifiant publicitaire, géolocalisation, données biométriques et bien d’autres catégories examinées plus bas.

Identification directe et indirecte

Une donnée peut identifier une personne directement (un nom, une photo identifiable) ou indirectement (un numéro client, un identifiant interne, un croisement de données). Le critère central est la possibilité d’identification, appréciée au regard de l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable de traitement ou par un tiers (considérant 26).

La CJUE a précisé cette analyse dans l’arrêt Breyer (C-582/14, 19 octobre 2016) : une adresse IP dynamique peut constituer une donnée personnelle dès lors que le responsable de traitement dispose de moyens légaux de remonter à l’identité de la personne — par exemple en obtenant les informations d’un fournisseur d’accès dans le cadre d’une procédure. Cette décision a établi le test d’identifiabilité « raisonnable » qui domine toute l’analyse aujourd’hui : ce n’est pas parce que vous ne pouvez pas identifier directement une personne que la donnée cesse d’être personnelle, si des moyens raisonnables d’y parvenir existent.

20 exemples de données personnelles

Le tableau ci-dessous illustre la distinction entre identification directe et indirecte, et signale les données qui relèvent en outre du régime renforcé des données sensibles.

#	Donnée	Type d’identification
1	Nom et prénom	Directe
2	Photographie ou vidéo identifiante	Directe
3	Empreinte digitale, réseau veineux, iris (biométrie)	Directe — sensible
4	Adresse e-mail personnelle (prenom.nom@…)	Directe
5	Numéro de téléphone	Directe/indirecte
6	Numéro de sécurité sociale (NIR)	Indirecte
7	Numéro client ou numéro d’employé	Indirecte
8	Adresse postale	Directe/indirecte
9	Adresse IP (fixe ou dynamique)	Indirecte
10	Identifiant publicitaire mobile / cookie	Indirecte
11	Données de géolocalisation	Indirecte
12	Plaque d’immatriculation	Indirecte
13	Identifiant de connexion / login	Indirecte
14	Enregistrement vocal identifiant	Directe
15	Données de santé, diagnostic, ordonnance	Directe — sensible
16	Opinions politiques, convictions religieuses	— sensible
17	Appartenance syndicale	— sensible
18	Orientation sexuelle, vie sexuelle	— sensible
19	Données génétiques	Directe — sensible
20	Historique d’achats rattaché à un compte	Indirecte

Dès lors que vous traitez l’une de ces données, le RGPD s’applique et vous devez engager un processus de mise en conformité.

Les cas limites : quand la qualification demande une analyse

En pratique, la loi règle explicitement l’essentiel des situations ; une petite fraction de cas exige une véritable analyse juridique. Trois exemples récurrents :

• Le carnet d’adresses personnel. Il contient des données personnelles, mais le RGPD ne s’applique pas aux traitements « mis en œuvre pour l’exercice d’activités exclusivement personnelles ou domestiques » (considérant 18). On imagine mal une démocratie imposer une formalité avant chaque appel téléphonique. Attention toutefois : le carnet d’adresses professionnel d’une entreprise, lui, relève pleinement du RGPD.
• Le bouton « J’aime » d’un réseau social. L’ajout d’un module social tiers sur une page web peut déclencher une transmission de données personnelles vers l’éditeur du module, engageant la responsabilité de l’exploitant du site. La qualification suppose d’examiner précisément quelles données sont transmises et à qui.
• La donnée « contournable ». Une stratégie parfois efficace consiste à éviter purement et simplement de traiter des données personnelles (par exemple pour des traitements strictement statistiques), afin de sortir du champ du règlement. C’est rarement possible en pratique : les données personnelles constituent l’essentiel de la valeur d’un fichier clients ou d’un fichier de salariés.

Ce que dit la jurisprudence

La notion a été éclairée par de nombreuses décisions. Quelques illustrations classiques en droit français :

• constitue un traitement automatisé l’enregistrement, sur l’autocommutateur téléphonique, des numéros appelés par chaque poste ainsi que de la durée et du coût des communications (Cass. crim., 23 mai 1991) ;
• le numéro de téléphone est une donnée personnelle (T. corr. Briey, 15 septembre 1992) ;
• un dispositif opérant des tests de personnalité sans mémorisation des réponses ne réalise pas un traitement de données personnelles (TGI Lille, 18 décembre 1996) ;
• constitue une collecte de données le fait d’identifier des adresses électroniques et de les utiliser, même sans les enregistrer dans un fichier, pour adresser des messages à leurs titulaires (Cass. crim., 14 mars 2006).

Ces décisions confirment une intuition centrale : ce n’est pas le support qui compte, mais la possibilité, à un moment donné, de relier l’information à une personne physique.

Le test des « moyens raisonnables » : le vrai critère

Le considérant 26 introduit la nuance décisive : pour déterminer si une personne est identifiable, il faut tenir compte de l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable de traitement ou par un tiers. Trois paramètres pèsent dans cette appréciation :

• le coût et le temps nécessaires à l’identification ;
• l’état de la technologie au moment du traitement et son évolution prévisible ;
• la disponibilité de sources externes permettant un rapprochement (annuaires, fichiers, données publiques).

Ce test explique pourquoi une même donnée peut être personnelle pour un acteur et anonyme pour un autre. Une adresse IP est une donnée personnelle pour un fournisseur d’accès qui détient la table d’attribution ; elle peut l’être aussi pour un éditeur de site qui dispose d’un moyen légal d’obtenir cette correspondance (arrêt Breyer). La règle opérationnelle est prudente : si un rapprochement raisonnable existe, considérez la donnée comme personnelle. L’inflation des capacités de recoupement — bases publiques, courtiers en données, modèles d’apprentissage — tend d’ailleurs à élargir le périmètre de ce qui est « identifiable » au fil du temps.

Identifiants en ligne : cookies, adresses IP et empreintes

Le RGPD cite expressément les « identifiants en ligne » parmi les éléments d’identification (article 4(1) et considérant 30). Sont concernés :

• les cookies et identifiants publicitaires, qui rattachent un comportement de navigation à un terminal, donc le plus souvent à une personne ;
• les adresses IP, fixes ou dynamiques ;
• les empreintes de navigateur (fingerprinting), qui identifient un terminal par la combinaison de ses caractéristiques techniques, sans même déposer de cookie.

Ces identifiants permettent de singulariser une personne — c’est-à-dire de la distinguer des autres et de la suivre — même sans connaître son nom. C’est suffisant pour qualifier une donnée personnelle. En pratique, un site qui mesure son audience, diffuse de la publicité ciblée ou intègre des modules tiers traite des données personnelles, avec les obligations d’information et, pour les traceurs non essentiels, de recueil du consentement qui en découlent.

Données personnelles et contexte B2B : une confusion fréquente

Une idée reçue tenace veut que les données « professionnelles » échapperaient au RGPD. C’est faux. Une adresse prenom.nom@entreprise.com, une ligne directe, un poste occupé par une personne nommée sont des données personnelles, quand bien même le contexte est professionnel. Le RGPD s’applique donc pleinement à un fichier de prospects B2B.

La seule frontière utile est celle de la personne morale : les coordonnées strictement génériques d’une organisation (contact@, standard@, numéro d’accueil) ne se rapportent à aucune personne physique identifiée et échappent, en tant que telles, à la qualification. Dès qu’un nom, une fonction nominative ou un identifiant individuel apparaît, on bascule dans le champ du règlement — d’où l’importance de traiter la prospection B2B comme un traitement de données personnelles à part entière.

Données sensibles : la catégorie à haut risque (article 9)

Le RGPD distingue, parmi les données personnelles, une catégorie à haut risque : les catégories particulières de données (article 9), couramment appelées données sensibles. Sept catégories sont visées :

1. origine raciale ou ethnique ;
2. opinions politiques ;
3. convictions religieuses ou philosophiques ;
4. appartenance syndicale ;
5. données génétiques ;
6. données biométriques aux fins d’identifier une personne de manière unique ;
7. données concernant la santé, la vie sexuelle ou l’orientation sexuelle.

Le traitement de ces données est interdit par principe (article 9(1)), sauf à invoquer l’une des exceptions limitativement énumérées à l’article 9(2) : consentement explicite, droit du travail et sécurité sociale, intérêts vitaux, activité d’une fondation ou association, données manifestement rendues publiques, défense d’un droit en justice, motif d’intérêt public important, médecine préventive, santé publique, recherche scientifique.

Les données d’infraction et de condamnation (article 10) relèvent d’un régime particulier, très strictement encadré en droit français. Le traitement de données sensibles à grande échelle déclenche en principe l’obligation de réaliser une analyse d’impact (AIPD) au titre de l’article 35.

Pseudonymisation et anonymisation : la frontière du RGPD

La distinction entre pseudonymisation et anonymisation est l’une des plus importantes en pratique :

• Pseudonymisation (article 4(5)) : remplacer un identifiant direct par un identifiant de substitution (jeton, hash) tout en conservant la possibilité technique de remonter à l’identité via une table de correspondance ou une clé. Les données pseudonymisées restent des données personnelles et le RGPD continue de s’appliquer. La pseudonymisation est une mesure de sécurité encouragée (articles 25 et 32), pas une sortie du champ du règlement.
• Anonymisation : transformer les données de façon à rendre l’identification impossible par tout moyen raisonnablement susceptible d’être utilisé. Les données véritablement anonymisées ne sont plus des données personnelles et sortent du champ du RGPD.

La frontière est plus floue qu’il n’y paraît. L’avis du G29 sur les techniques d’anonymisation rappelle que la véritable anonymisation résiste à trois risques : singularisation, corrélation, inférence. Une simple suppression du nom ne suffit pas : les combinaisons de quasi-identifiants (date de naissance, code postal, sexe) permettent souvent une ré-identification. En pratique, présumez que les données restent personnelles sauf analyse de risque documentée démontrant l’effectivité de l’anonymisation.

Pourquoi la qualification change tout

L’enjeu de la qualification est binaire. Si la donnée est personnelle, l’ensemble du RGPD s’applique :

• une base légale documentée au titre de l’article 6 — consentement, contrat, obligation légale, intérêt légitime… ;
• une information transparente des personnes (articles 12 à 14) ;
• le respect des principes de l’article 5 : licéité, finalité, minimisation, exactitude, limitation de la conservation, intégrité-confidentialité ;
• le respect des droits des personnes (articles 15 à 22) : accès, rectification, effacement, opposition, portabilité, limitation ;
• la tenue d’un registre des traitements (article 30) ;
• l’éventuelle notification des violations sous 72 h à la CNIL (article 33) ;
• l’éventuelle désignation d’un DPO (article 37) ;
• les sanctions de l’article 83 : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

La première étape opérationnelle consiste donc à cartographier vos traitements pour repérer où des données personnelles sont collectées. À l’échelle d’une organisation, un logiciel RGPD permet d’industrialiser ce recensement et la tenue du registre associé.

FAQ : la qualification de « donnée personnelle »

Une adresse IP est-elle une donnée personnelle ?

Oui, dès lors que le responsable de traitement (ou un tiers disposant de moyens raisonnables d’identification) peut remonter à l’identité de la personne. L’arrêt Breyer (CJUE C-582/14, 2016) a clarifié cette analyse pour les adresses IP dynamiques. En pratique, considérez toute adresse IP comme une donnée personnelle.

Une donnée professionnelle (e-mail pro, téléphone pro) est-elle protégée ?

Oui. La donnée professionnelle nominative (prenom.nom@entreprise.com, ligne directe attribuée à une personne) reste une donnée personnelle. Seules les coordonnées génériques d’une personne morale (contact@entreprise.com, numéro de standard) échappent à la qualification.

Les données d’une personne décédée sont-elles des données personnelles ?

Le RGPD ne s’applique pas aux personnes décédées (considérant 27). Toutefois, la loi française Informatique et Libertés permet à toute personne de définir des directives sur le sort de ses données après son décès, et les héritiers disposent de droits spécifiques.

Un identifiant chiffré ou « hashé » reste-t-il une donnée personnelle ?

Oui, dès lors que la table de correspondance permettant la ré-identification existe quelque part. C’est une pseudonymisation, pas une anonymisation : le RGPD continue de s’appliquer.

Les données agrégées sont-elles toujours anonymisées ?

Non. Une agrégation simple (par tranche d’âge, par code postal) peut laisser des cellules trop petites permettant l’identification. Le test d’anonymisation doit être rigoureux : résistance à la singularisation, à la corrélation et à l’inférence. À défaut, les données restent personnelles.

Un site web peut-il traiter des données personnelles sans le savoir ?

Oui, et c’est très fréquent. Un simple formulaire de contact, un cookie publicitaire, un script d’analyse d’audience, un pixel de conversion : autant de mécanismes qui collectent ou transmettent des données personnelles et déclenchent l’application complète du RGPD. La conformité d’un site exige un examen technique aussi rigoureux que juridique.

Une photo est-elle une donnée personnelle ?

Oui, dès lors qu’elle permet d’identifier une personne — ce qui est le cas de la plupart des photographies de visage. L’image relève alors pleinement du RGPD, avec une base légale (souvent le consentement pour la diffusion) et le respect des droits de la personne. Certaines images vont plus loin : un gabarit biométrique extrait d’une photo aux fins d’identification unique bascule dans les données sensibles de l’article 9.

Les données personnelles utilisées pour entraîner une IA sont-elles concernées ?

Oui. L’utilisation de données personnelles pour constituer un jeu d’entraînement est un traitement soumis au RGPD : il faut une base légale, une information des personnes et le respect de leurs droits. Le fait que les données soient « publiques » (issues du web) ne les rend ni anonymes ni librement réutilisables. La qualification de donnée personnelle est donc le point de départ de toute analyse de conformité d’un projet d’intelligence artificielle.