Données personnelles: il y en a plus que vous ne croyez !

Alors que le RGPD existe depuis plus de 5 ans, je suis surpris d'encore entendre certains croire que les données personnelles sont limitées à quelques éléments comme le nom et l'adresse, alors que la définition de la donnée personnelle est bien plus large qu'ils ne le croient.

« Toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale  "

Cette définition est très large et il est important de comprendre qu’un très grand nombre de données sont des données personnelles.

Comme une donnée personnelle est un élément qui permet d'identifier une personne, il y en a évidemment un grand nombre:

• Numéro de la plaque de voiture
• Numéro de téléphone portable
• Numéro de sécurité sociale
• Adresse postale
• Adresse email
• Adresse IP (adresse de votre appareil connecté)
• Numéro de carte d’identité ou de passeport
• Numéro de membre dans un club sportif
• Photo individuelle
• Photo de groupe
• Photo d'une maison
• Photo aérienne d’une maison
• Adresse postale
• Enregistrement vocal
• Extraits de banque
• fiche de salaire
• Etc.

Une personne peut également être identifiée au moyen de la combinaison de plusieurs éléments, à priori sans lien avec une personne, comme le fait qu’une personne vive dans tel village, soit professeur des écoles et conseiller municipal du village en question.

Il est important de noter qu’une donnée à caractère personnel ne doit pas nécessairement permettre d’identifier immédiatement une personne. Si un nom de famille et un prénom le permettent, le numéro d’une plaque de voiture, bien que ne permettant pas une identification immédiate de la personne concernée est néanmoins une donnée personnelle car elle permettra d’identifier indirectement la personne concernée.

Encore un mythe qui a la vie dure !

Si les coordonnées d’entreprises et d’organisations ne sont pas des données personnelles, et ne sont donc pas soumises au RGPD, les entreprises qui portent le nom de leur propriétaire (Boucherie Jean Dupont par exemple) sont donc bien des données personnelles

Quant aux adresses email professionnelles, si des adresses info@société.com n'est pas une donnée personnelle lorsqu'elle est utilisée par plusieurs personnes, une adresse email du type prénom.nom@société.com est évidemment une donnée personnelles

Encore une idée préconçue sans fondement. En effet, même si 100% de vos clients et prospects sont des entreprises, vous disposez évidemment des noms, prénoms, numéros de portable etc . de personnes physiques et tout cela constitue des données personnelles

Donc même les entreprises qui ne travaillent qu'en B2B sont soumises au RGPD!