Données personnelles : définition et 20 exemples

Un numéro de client, une appréciation dans un dossier ou une adresse IP peuvent être des données personnelles sans comporter de nom. Pour qualifier un fichier, il faut examiner les personnes auxquelles les informations se rapportent et les moyens de les identifier dans le contexte réel d’utilisation.

La définition des données personnelles

L’Art. 4(1) du RGPD vise toute information relative à une personne physique identifiée ou identifiable, directement ou indirectement. Un identifiant ou plusieurs éléments combinés peuvent suffire. L’Art. 4(2) définit largement le traitement : consulter, transmettre ou effacer une information entre également dans cette notion. Un traitement automatisé temporaire ne sort donc pas du RGPD simplement parce qu’aucun fichier durable n’est enregistré. RGPD, Art. 4(1) et 4(2).

Trois questions permettent une première qualification :

1. L’information concerne-t-elle une personne physique ? Une donnée sur une société peut aussi concerner son dirigeant, son salarié ou un entrepreneur individuel.
2. Peut-on reconnaître cette personne ? Le rapprochement avec un autre fichier ou le contexte peut permettre de le faire sans connaître immédiatement son nom.
3. Quels moyens d’identification sont raisonnablement utilisables ? Examinez les accès, les données auxiliaires, le coût, le temps et les possibilités techniques. L’absence d’un nom dans l’export ne constitue pas une analyse d’anonymisation.

Le qualificatif « personnel » ne signifie pas « secret » ou « privé ». Une adresse professionnelle nominative et des informations déjà publiées peuvent rester protégées.

Vingt exemples pour qualifier vos fichiers

Ce tableau donne des exemples de raisonnement. La qualification dépend du lien avec une personne et du contexte, pas du seul nom de la colonne.

Pour les annotations, le guide sur les champs libres et commentaires permet de passer de la qualification au contrôle de ce qui est réellement saisi.

À l’inverse, un chiffre d’affaires global d’une grande société ou une statistique suffisamment agrégée peuvent ne concerner aucune personne identifiable. Mais « contact@ » n’est pas automatiquement anonyme : dans une entreprise individuelle, l’adresse et son contexte peuvent désigner le professionnel.

Ce que la Cour de justice a déjà tranché

Quatre décisions de la Cour de justice de l’Union européenne servent de repères pour qualifier une information. Elles concernent la directive 95/46/CE ou le RGPD, mais la définition de la donnée personnelle y est restée suffisamment proche pour guider la pratique.

La leçon commune : la qualification est relative aux moyens d’identification dont dispose réellement l’organisme, comme l’indique le considérant 26 du RGPD. Je n’ai en revanche pas rouvert, pour cette mise à jour, le texte intégral de l’arrêt Scania : vérifiez sa portée précise avant de l’invoquer dans un dossier.

Exemple résolu : un export « anonyme » de support client

Prenons un cas hypothétique. Un éditeur de logiciel extrait de son outil de support un fichier sans nom ni e-mail pour l’envoyer à un prestataire d’analyse : identifiant de ticket, date et heure, ville, version du produit, texte libre du client, identifiant de compte haché.

1. Ce qui rend le fichier personnel pour l’éditeur. Il détient la table des comptes et peut relier le ticket à un client. L’identifiant de ticket et le haché sont des pseudonymes, non des anonymes.
2. Le texte libre. Un client peut y avoir écrit son nom, un numéro de commande ou un problème de santé. Il faut le contrôler ou le retirer.
3. Le prestataire. Sa situation est à apprécier séparément : accès à la clé, taille de la ville, possibilité de croiser avec d’autres sources, engagements contractuels. Le contrat ne suffit pas à conclure à l’anonymat.
4. Décision. Tant que l’éditeur peut ré-identifier, il traite des données personnelles : base légale, information des clients et contrat de sous-traitance selon les rôles. Le guide sur la pseudonymisation et l’anonymisation détaille les critères pour sortir du champ.

Cas limites fréquents

Les personnes décédées. Le considérant 27 du RGPD exclut leurs données, mais la loi Informatique et Libertés organise en France des directives relatives au sort des données après le décès, et les États membres peuvent prévoir des règles propres.

Les personnes morales. Le considérant 14 écarte les données d’une société en tant que telle, y compris sa dénomination et ses coordonnées. Les informations sur un dirigeant, un associé ou un salarié restent en revanche personnelles.

Les données déduites. Un score, un profil ou une segmentation se rapporte à la personne visée. Si l’inférence révèle une catégorie de l’Art. 9(1), elle peut relever du régime renforcé.

Données personnelles et données sensibles

Les catégories particulières de l’Art. 9(1) comprennent notamment les données de santé, génétiques, certaines données biométriques, les opinions politiques, les convictions religieuses, l’appartenance syndicale et les données concernant la vie sexuelle ou l’orientation sexuelle. Leur traitement requiert une exception de l’Art. 9(2), en plus d’une base de l’Art. 6(1). RGPD, Art. 6 et 9.

Une photographie ou une voix ne devient pas automatiquement une donnée biométrique relevant de l’Art. 9 : il faut notamment examiner le traitement technique et la finalité d’identification unique. Les condamnations et infractions relèvent du régime distinct de l’Art. 10. Le numéro de sécurité sociale ne figure pas, en tant que tel, dans la liste de l’Art. 9(1) ; son utilisation fait l’objet de règles françaises spécifiques. Consultez la loi Informatique et Libertés pour situer ces règles nationales.

Un code ne suffit pas à rendre les données anonymes

La pseudonymisation dissocie les informations d’identification et les autres données. Pour l’organisme qui possède la table de correspondance ou peut identifier les personnes par d’autres moyens raisonnables, la protection demeure nécessaire.

Il faut cependant éviter une autre généralisation : une donnée pseudonymisée n’est pas nécessairement personnelle pour toute personne qui la reçoit. Dans l’affaire C-413/23 P du 4 septembre 2025, rendue sous le règlement applicable aux institutions de l’Union, la Cour admet que le destinataire puisse ne pas être en mesure d’identifier les personnes. Elle précise aussi que l’obligation d’information du responsable initial s’apprécie à la collecte, de son propre point de vue, avant le transfert. Cette nuance ne dispense donc pas l’émetteur d’informer les personnes. Présentation de l’arrêt par la Cour.

En pratique, documentez séparément la situation de l’émetteur et celle du destinataire : données détenues, accès à la clé, possibilités de rapprochement, garanties techniques et organisationnelles. Un simple engagement à ne pas réidentifier ne démontre pas, à lui seul, une anonymisation.

Que faire après la qualification ?

La présence de données personnelles impose d’abord d’examiner le champ d’application du règlement. L’Art. 2(1) couvre les traitements automatisés et les traitements manuels intégrés ou destinés à un fichier ; l’Art. 2(2) prévoit des exclusions, dont l’activité strictement personnelle ou domestique. L’Art. 3 détermine le champ territorial. Toutes les obligations particulières, comme la désignation d’un DPO ou l’analyse d’impact, ne deviennent pas automatiquement obligatoires pour chaque fichier. RGPD, Art. 2 et 3.

Pour un fichier professionnel relevant du RGPD, produisez une fiche de qualification contenant :

Poursuivez avec la checklist de collecte et la procédure de réponse au droit d’accès. Les droits s’exercent selon leurs conditions propres : l’effacement, l’opposition et la portabilité ne sont pas interchangeables ni absolus. RGPD, Art. 17, 20 et 21.

Ce qu’il faut retenir

• Une personne peut être identifiable sans nom ni prénom dans le fichier.
• Les coordonnées professionnelles et les données publiques peuvent être personnelles.
• Donnée sensible, biométrie, infraction et identifiant national appellent des qualifications distinctes.
• Un code ou une suppression de colonnes ne démontre pas une anonymisation.
• Documentez la qualification avant de définir les règles de collecte et d’accès.

FAQ

Une donnée fausse reste-t-elle personnelle ?

Oui, si elle concerne une personne identifiée ou identifiable. Son inexactitude pose une question de rectification ; elle ne la fait pas sortir du champ de protection.

Une base sans noms relève-t-elle du RGPD ?

Elle peut en relever si les identifiants, les croisements ou le contexte permettent de retrouver les personnes. Il faut analyser les moyens d’identification réellement disponibles.

Une adresse IP est-elle une donnée personnelle ?

Elle peut l’être. Dans l’arrêt Breyer (C-582/14), la Cour a jugé qu’une adresse IP dynamique l’est pour l’éditeur d’un site lorsqu’il dispose de moyens légaux de l’associer à un abonné. L’analyse reste contextuelle.

Toutes les données personnelles sont-elles sensibles ?

Non. L’Art. 9(1) vise des catégories déterminées. Une donnée hors de cette liste peut néanmoins présenter un risque élevé, notamment une information financière ou un identifiant permettant une usurpation.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.