La notion de donnée personnelle constitue la pierre angulaire du Règlement général sur la protection des données (RGPD). Son périmètre détermine l’application — ou non — de l’ensemble du dispositif réglementaire européen.
Depuis l’arrêt CJUE EDPS c. SRB du 4 septembre 2025 (aff. C-413/23 P), la frontière entre donnée personnelle et donnée non personnelle a été significativement précisée. Ce guide analyse la définition légale, les distinctions clés entre anonymisation et pseudonymisation, et les obligations concrètes qui en découlent pour les organisations.
Qu’est-ce qu’une donnée personnelle au sens du RGPD ?
Comment l’article 4 définit-il les données personnelles ?
L’article 4, paragraphe 1, du RGPD définit la donnée personnelle comme :
« toute information se rapportant à une personne physique identifiée ou identifiable […] directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne […] »
Deux critères cumulatifs doivent être réunis : l’information doit se rapporter à une personne physique, et cette personne doit être identifiable par des « moyens raisonnablement susceptibles d’être utilisés » (considérant 26 du RGPD). Le caractère « raisonnablement susceptible » s’apprécie au regard du coût, du temps nécessaire et des technologies disponibles.
Dans l’arrêt Breyer (C-582/14, 19 octobre 2016), la CJUE a retenu qu’une adresse IP dynamique peut être une donnée personnelle pour l’exploitant d’un site lorsqu’il dispose de moyens légaux lui permettant de faire identifier l’internaute à l’aide des informations détenues par le fournisseur d’accès. La simple capacité du fournisseur d’accès à identifier son abonné ne dispense donc pas d’analyser les moyens accessibles au détenteur de l’adresse IP.
Exemples courants de données personnelles
Les données personnelles se répartissent en catégories variées. Les identifiants directs comprennent le nom, le prénom, le numéro de sécurité sociale ou la photographie. Les identifiants indirects incluent l’adresse IP, l’identifiant de cookie, le numéro d’employé ou les données de géolocalisation.
Des données moins évidentes sont également couvertes. L’arrêt Nowak (C-434/16, 20 décembre 2017) a confirmé que les réponses d’un candidat à un examen constituent des données personnelles, car elles reflètent le niveau de connaissances de la personne.
En pratique, la qualification dépend toujours du contexte. Un identifiant technique isolé n’est pas nécessairement une donnée personnelle pour tout détenteur, comme l’a confirmé l’arrêt EDPS c. SRB de 2025 (voir ci-dessous).
Données anonymisées, pseudonymisées et sensibles
Quelle différence entre anonymisation et pseudonymisation ?
L’anonymisation rend les données irréversiblement non identifiantes. Les données véritablement anonymisées sortent du champ du RGPD (considérant 26). La CNIL rappelle que l’anonymisation doit résister à trois tests : l’individualisation, la corrélation et l’inférence.
La pseudonymisation, définie à l’article 4(5) du RGPD, consiste à traiter les données de sorte qu’elles ne puissent plus être attribuées à une personne sans information supplémentaire. Les données pseudonymisées restent des données personnelles pour le responsable de traitement qui détient la clé de correspondance. Le RGPD encourage la pseudonymisation comme mesure de sécurité (article 32) et la valorise dans le cadre de la recherche scientifique (article 89).
L’arrêt CJUE EDPS c. SRB de 2025 (données pseudonymisées)
L’arrêt CEPD contre CRU, C-413/23 P, du 4 septembre 2025 porte sur le règlement (UE) 2018/1725 applicable aux institutions européennes. Sa définition des données personnelles est comparable à celle du RGPD. Le CRU avait communiqué à Deloitte des observations associées à des codes, tout en conservant les informations permettant de retrouver les auteurs.
La Cour distingue deux questions : la possibilité d’identifier une personne chez un destinataire donné et l’obligation d’information du responsable lors de la collecte. La pseudonymisation peut empêcher certains destinataires d’identifier les personnes si les moyens raisonnablement susceptibles d’être utilisés ne permettent pas cette identification. L’absence de table de correspondance ne suffit pas, à elle seule, à établir ce résultat : les autres données accessibles et les possibilités concrètes de rapprochement comptent aussi.
Pour l’obligation d’information litigieuse, l’appréciation se fait du point de vue du responsable et au moment de la collecte. Le CRU pouvait identifier les personnes : il ne pouvait donc écarter cette obligation en se fondant seulement sur la situation de Deloitte. La Cour a annulé l’arrêt du Tribunal et lui a renvoyé l’affaire. L’arrêt ne constitue ni une déclaration générale d’anonymat des fichiers codés, ni une dispense de transparence pour l’émetteur.
Les catégories particulières de données (données sensibles)
L’article 9 du RGPD énumère les catégories particulières de données : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques traitées pour identifier une personne de manière unique, données de santé, vie sexuelle et orientation sexuelle. Une photo ordinaire n’est donc pas automatiquement une donnée biométrique relevant de l’article 9. Les données relatives aux condamnations pénales et aux infractions relèvent du régime distinct de l’article 10.
Le traitement de ces données est interdit par principe, sauf l’une des conditions de l’article 9(2), à examiner en plus de la base juridique de l’article 6. Par exemple, une donnée de santé collectée pour gérer une absence ne devient pas librement exploitable pour évaluer un salarié : la finalité, la nécessité et les dispositions nationales applicables restent à vérifier.
Conséquences pratiques pour les organisations
Quelles obligations découlent du traitement de données personnelles ?
Dès lors qu’une organisation traite des données personnelles, le RGPD impose un ensemble d’obligations cumulatives.
Le registre des traitements (article 30) doit documenter chaque activité de traitement : finalités, catégories de données, destinataires, durées de conservation et mesures de sécurité. La tenue de ce registre est obligatoire à partir de 250 salariés. En dessous, l’exception de l’article 30(5) ne couvre pas notamment les traitements non occasionnels, risqués, ou portant sur les catégories des articles 9 ou 10.
La détermination d’une base juridique licite (article 6) est un préalable à tout traitement. Les six bases possibles sont le consentement, l’exécution d’un contrat, l’obligation légale, l’intérêt vital, la mission de service public et l’intérêt légitime.
La désignation d’un DPO est obligatoire dans les cas de l’article 37 : autorités et organismes publics hors juridictions dans leur fonction juridictionnelle, activités de base exigeant un suivi régulier et systématique à grande échelle, ou traitement à grande échelle de données des articles 9 ou 10 dans les activités de base. Le DPO veille à la conformité et sert d’interlocuteur avec l’autorité de contrôle.
Les droits des personnes concernées (articles 15 à 22) incluent le droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition. Le responsable doit répondre sans retard injustifié et au plus tard dans le mois suivant la réception. Une prolongation de deux mois peut être nécessaire selon la complexité et le nombre de demandes ; il faut en informer la personne et motiver ce report dans le premier mois.
Enfin, la sécurité des données (article 32) impose des mesures techniques et organisationnelles « appropriées » : pseudonymisation, chiffrement, tests de résistance réguliers. En cas de violation, il faut documenter l’incident et notifier l’autorité compétente sans retard injustifié, si possible dans les 72 heures après en avoir pris connaissance, sauf risque improbable pour les personnes (article 33). L’information des personnes suit les conditions et exceptions de l’article 34.
La qualification doit être conservée avec le registre des traitements et réexaminée lors d’un changement de destinataire, de jeu de données ou de possibilités de rapprochement.
Avertissement juridique : cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Pour toute question relative à votre situation spécifique, consultez un avocat spécialisé en protection des données.
Fiche de qualification à remplir avant un partage
Pour un export d’assistance client, établissez une fiche distincte pour l’équipe interne et pour le prestataire destinataire. Elle doit répondre à cinq questions :
- À qui l’information se rapporte-t-elle ? Un commentaire sur un ticket peut contenir des informations concernant le client, mais aussi le salarié qui l’a rédigé. La suppression du nom du client ne règle pas le second cas.
- Quels identifiants restent présents ? Relevez les identifiants de compte, dates précises, lieux et champs libres. Une combinaison rare peut suffire à individualiser une personne.
- Quels rapprochements sont possibles ? Examinez les accès du destinataire à d’autres fichiers, les données publiques et les voies légales d’accès à l’information supplémentaire. Consignez les restrictions techniques et organisationnelles vérifiables.
- Qui conserve les informations supplémentaires ? Notez l’emplacement de la table, les habilitations et la procédure de réidentification. Si le prestataire reçoit également la table, le simple remplacement des noms perd une grande partie de son intérêt.
- Quelle décision en résulte ? Conservez la qualification, ses hypothèses, les mesures retenues et le responsable de la prochaine revue. Une incertitude non résolue ne justifie pas d’annoncer que le fichier est anonyme.
Exemple : transmettre des tickets sous identifiant aléatoire peut limiter les accès directs à l’identité. Si les commentaires contiennent l’adresse complète d’un client, il faut aussi traiter ces champs avant le partage. Le guide de pseudonymisation aide à organiser cette séparation ; le guide de collecte aide à éviter les champs superflus dès l’origine.
Cette fiche concerne la qualification des données. Elle ne remplace pas l’analyse de la base juridique, des destinataires autorisés ou d’un éventuel transfert international.
FAQ
Qu’est-ce qu’une donnée personnelle selon le RGPD ?
L’article 4(1) RGPD définit la donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable. Cela inclut le nom, l’adresse email, le numéro de téléphone, l’adresse IP, les données de localisation, et tout identifiant permettant d’identifier indirectement une personne.
Les données de personnes morales (entreprises) sont-elles des données personnelles ?
Le RGPD protège les personnes physiques. Une raison sociale ou une boîte collective peut ne concerner que la personne morale ; mais les informations relatives à une entreprise individuelle peuvent également identifier son exploitant. Il faut vérifier le contenu et le contexte. En revanche, l’email professionnel nominatif (prenom.nom@entreprise.com) est une donnée personnelle car il identifie un individu.
Qu’est-ce qu’une donnée sensible (catégorie particulière) sous le RGPD ?
L’article 9 RGPD liste les catégories particulières : données de santé, données biométriques utilisées pour identifier une personne de manière unique, données génétiques, origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, vie sexuelle et orientation sexuelle. Leur traitement est interdit par défaut sauf exceptions limitatives.
La pseudonymisation transforme-t-elle des données personnelles en données non personnelles ?
Non. Selon le RGPD et la CNIL, les données pseudonymisées restent des données personnelles si une réidentification est possible, même avec des informations supplémentaires. La qualification du destinataire exige une analyse des moyens raisonnables d’identification ; elle ne supprime pas les obligations du responsable qui peut encore identifier les personnes.
Conclusion
La définition de donnée personnelle au sens du RGPD dépasse largement le simple nom ou adresse. Elle englobe toute information permettant, directement ou indirectement, d’identifier une personne physique par des moyens raisonnables. L’arrêt EDPS c. SRB de septembre 2025 a clarifié que cette qualification est relative — elle dépend des moyens de ré-identification dont dispose chaque acteur dans la chaîne de traitement.
Pour les organisations, cela signifie qu’une analyse contextuelle est indispensable avant tout traitement. La qualification des données conditionne l’application du RGPD et de l’ensemble de ses obligations : registre, base juridique, droits des personnes, sécurité et notification des violations.
Sources vérifiées le 26 septembre 2026 : RGPD, article 4 et considérant 26, arrêt C-413/23 P précité et CNIL, anonymisation.