Avant de protéger une donnée, il faut savoir la repérer. Une donnée personnelle, c'est toute information qui permet d'identifier une personne physique, directement ou indirectement. Directement : un nom, un email nominatif, une photo, un numéro de sécurité sociale. Indirectement : une adresse IP, un numéro de plaque d'immatriculation, un identifiant client, ou même la combinaison d'un métier rare et d'une ville dans une petite commune.
Le test des 3 questions
- Cette information concerne-t-elle une personne physique (pas une entreprise) ?
- Permet-elle, seule ou croisée avec d'autres, d'identifier cette personne ?
- Est-ce que je peux remonter jusqu'à elle si je le voulais ?
Si vous répondez oui aux trois, vous tenez une donnée personnelle. Attention à une catégorie particulière : les données sensibles (santé, origine, opinions politiques ou religieuses, orientation sexuelle, données biométriques). Elles demandent un niveau de protection renforcé et une base légale plus stricte.
Piège fréquent
Beaucoup pensent qu'une donnée « anonymisée » n'est plus concernée. Or une donnée simplement pseudonymisée (un identifiant à la place du nom, mais avec une table de correspondance quelque part) reste une donnée personnelle tant que le lien peut être reconstitué. Seule une anonymisation irréversible fait sortir la donnée du champ du règlement.
Exemple pas à pas
Vous ouvrez un tableau de suivi commercial. Colonne « Client A », colonne « email », colonne « historique d'achats ». Même si le nom est remplacé par « Client A », si un onglet caché relie « Client A » à « Julie Martin », c'est une donnée personnelle de bout en bout. Vous devez donc appliquer les mêmes règles de sécurité (accès restreint, durée de conservation limitée) que si le nom apparaissait en clair.
💡 Conseil de pro : en cas de doute sur une donnée, posez-vous la question inverse : « Si je perds ce fichier, la personne concernée pourrait-elle être identifiée et éventuellement lésée ? » Si la réponse est oui, traitez-le comme sensible, même sans certitude juridique absolue.
Mini-exercice
Listez sur une feuille cinq informations que vous manipulez cette semaine (un tableau, un email, un formulaire). Pour chacune, appliquez le test des 3 questions et notez si c'est une donnée personnelle, une donnée sensible, ou ni l'un ni l'autre. Gardez cette liste, elle servira de base à la séance suivante.