Qu'est-ce qu'une donnée personnelle ?

Une donnée personnelle est toute information qui se rapporte à une personne physique identifiée ou que l'on peut identifier, directement ou en recoupant plusieurs informations. Dès que votre site, votre agenda ou votre fichier clients en contient, le RGPD s'applique.

À quoi ça sert ?

La notion délimite ce que le RGPD protège. Si une information entre dans cette catégorie, vous avez des devoirs à son égard : n'en collecter que le nécessaire, informer la personne, sécuriser, ne pas conserver sans limite, et répondre quand elle exerce ses droits. Comprendre ce qu'est une donnée personnelle, c'est donc savoir quand le RGPD vous concerne.

Comment ça marche (en pratique)

Le critère est celui de l'identification. Une donnée est personnelle si elle permet de reconnaître quelqu'un, seule ou combinée à d'autres.

Exemples courants dans une petite entreprise :

• nom, prénom, adresse postale ;
• adresse e-mail et numéro de téléphone, y compris professionnels quand ils désignent une personne ;
• photo d'un client ou d'un salarié ;
• historique d'achats, de rendez-vous, de soins associé à une personne ;
• identifiants en ligne, adresse IP, identifiants des cookies, selon les cas ;
• numéro de sécurité sociale, coordonnées bancaires.

À l'inverse, une donnée vraiment anonymisée, qui ne permet plus de remonter à quelqu'un, n'en est plus une. Attention : « anonymiser » est exigeant. Retirer le nom mais garder la date de naissance, le code postal et la profession peut suffire à reconnaître une personne dans un village.

Certaines données sont dites sensibles : santé, origine, opinions politiques ou religieuses, appartenance syndicale, vie sexuelle, données biométriques. Leur traitement est en principe interdit, sauf exceptions encadrées, et demande une vigilance particulière. Un kinésithérapeute, un coach ou un praticien de bien-être en manipule fréquemment ; consultez les recommandations de la CNIL pour votre secteur.

Exemple concret

Exemple type : un restaurateur propose la réservation en ligne. Pour chaque réservation, il reçoit un nom, un numéro de téléphone et parfois une allergie alimentaire. Les deux premiers sont des données personnelles ; l'allergie peut relever d'une donnée de santé et appelle plus de prudence. Il ne garde que ce qui sert à la réservation, supprime l'historique après un temps raisonnable et l'indique dans sa politique de confidentialité.

Les erreurs fréquentes

• Croire qu'un simple e-mail n'est pas une donnée personnelle. Il l'est dès qu'il identifie quelqu'un.
• Collecter « au cas où » : chaque champ de votre formulaire doit avoir une raison d'être.
• Oublier les données indirectes : adresses IP, statistiques de visite et cookies peuvent en faire partie.
• Ignorer les données des salariés : planning, paie, photos d'équipe.
• Les conserver sans limite : fixez une durée et suivez-la.
• Stocker ces données dans un outil mal protégé : tableur partagé sans mot de passe, boîte mail commune, messagerie personnelle.

Pour aller plus loin

• Le cadre légal est présenté dans RGPD ; l'autorité de contrôle dans CNIL ; le document interne dans registre des traitements.
• Notre guide RGPD sur le site d'un artisan ou commerçant applique ces principes à un site.
• Si vous voulez un site qui ne collecte que le nécessaire, découvrez notre création de site internet.

Questions fréquentes

Une adresse e-mail professionnelle est-elle une donnée personnelle ? Oui quand elle permet d'identifier une personne, par exemple prenom.nom@entreprise. Une adresse générique de service l'est moins, mais le contexte compte.

Une photo de client est-elle concernée ? Oui, dès que la personne est reconnaissable. Il faut une base légale et, selon l'usage, son accord clair.

Les données de mes clients professionnels comptent-elles aussi ? Oui, dès qu'elles concernent une personne physique identifiable : le contact au sein de la société, par exemple.

Qu'est-ce qu'une donnée sensible ? Une catégorie à protection renforcée : santé, opinions, origine, biométrie, entre autres. Consultez cnil.fr pour la liste complète.