Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Le nom et l'adresse e-mail sont des données personnelles évidentes. Mais une adresse IP, une plaque d'immatriculation, une voix enregistrée ou la combinaison «âge, code postal, profession» le sont aussi, dès lors qu'elles permettent de retrouver quelqu'un. C'est la notion centrale du RGPD: tout ce qu'il protège passe par elle. Et tout ce qui n'en est pas une échappe à sa protection.
Un exemple concret
Une agence immobilière fictive à Toulouse reçoit une demande de location. Le dossier contient:
- nom, prénom, téléphone, e-mail: données personnelles directes;
- trois fiches de paie, un avis d'imposition, un RIB: données personnelles;
- «cadre, 38 ans, deux enfants, 31400»: données personnelles indirectes, car, combinées, elles peuvent suffire à identifier la personne;
- le loyer moyen du quartier calculé sur 200 dossiers: pas une donnée personnelle, tant qu'aucune personne ne peut en être déduite.
La ligne ne passe pas entre «sensible» et «banal», mais entre «permet d'identifier quelqu'un» et «ne le permet pas».
Les données personnelles en détail
La définition (article 4, point 1, du RGPD). Est une donnée à caractère personnel toute information se rapportant à une personne physique identifiée ou identifiable. Une personne est identifiable si elle peut être identifiée, directement ou indirectement, notamment par référence à un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
Exemples de données personnelles:
- nom, prénom, adresse postale, e-mail, numéro de téléphone;
- numéro de sécurité sociale, numéro de client, numéro de dossier;
- adresse IP, identifiants de cookies, données de géolocalisation;
- photo, enregistrement vocal, empreinte digitale;
- revenus, situation familiale, historique d'achats;
- un ensemble d'attributs indirects (âge, profession, ville) qui, ensemble, désignent une seule personne.
Les données sensibles. Certaines données personnelles sont plus protégées: santé, données génétiques et biométriques, religion, orientation sexuelle, opinions politiques, appartenance syndicale, origine ethnique (article 9 du RGPD). Voir données de santé.
Ce qui n'en est pas. Les données concernant une entreprise en tant que telle (chiffre d'affaires, numéro SIREN) ne sont pas des données personnelles, sauf si elles renvoient à une personne physique, par exemple un entrepreneur individuel. Les données réellement anonymes non plus.
Qui contrôle. En France, la CNIL. Les amendes du RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Pour le cadre général, voir qu'est-ce que le RGPD.
Ceci est une information générale, pas un conseil juridique.
Ce que la notion ne protège pas
Puisque tout le RGPD repose sur la notion de donnée personnelle, tout ce qui n'en est pas une sort de son champ.
- Une donnée anonymisée n'est plus personnelle. Le considérant 26 du RGPD exclut les informations anonymes. Le contenu d'un dossier, une fois détaché de la personne, peut être regroupé, licencié et vendu légalement à des courtiers en données ou des développeurs d'IA.
- Le contenu métier n'est pas protégé en tant que tel. Une clause de contrat, une stratégie, un prix négocié ne sont pas des données personnelles. Le RGPD ne les couvre que lorsqu'ils sont rattachés à une personne.
- Les conditions d'utilisation décident. Si un service se réserve une licence pour réutiliser vos contenus, il peut, une fois les identifiants retirés, en faire ce que ses conditions autorisent.
- L'identifiabilité est plus large qu'on le croit. Une étude publiée en 2019 dans Nature Communications a estimé que 99,98 % des Américains pouvaient être réidentifiés à partir de 15 attributs. Remplacer un nom par un code ne fait pas sortir une donnée du RGPD: voir pseudonymisation et anonymisation.
La loi protège le nom et ce qui y mène. Le reste, une fois détaché, peut entrer sur un marché. Notre page la trace des données montre ce trajet pour un médecin, un avocat et une entreprise, et pourquoi vendre des données confidentielles est légal en donne les sources.
Ce que cela signifie quand vous utilisez l'IA
Quand vous tapez, dictez ou déposez un document dans un outil d'IA, il contient presque toujours des données personnelles. Vérifiez:
- Le prestataire agit-il comme sous-traitant (article 28 du RGPD), uniquement sur vos instructions?
- Prend-il une licence de réutilisation de vos contenus, même anonymisés?
- Vos contenus servent-ils à entraîner des modèles?
- Les fournisseurs de modèles conservent-ils vos requêtes?
- Où les données sont-elles hébergées?
Wysor est construit pour que ni la partie personnelle ni le reste ne quittent votre contrôle. Wysor agit uniquement comme sous-traitant, sur vos instructions, et ne prend aucune licence de réutilisation: vos contenus servent seulement à faire fonctionner le service pour vous. Nous n'entraînons jamais de modèle sur vos contenus et ne les vendons jamais, anonymisés ou non. Ces engagements sont inscrits dans le contrat et lient quiconque pourrait un jour posséder Wysor. Les données sont chiffrées en transit et au repos, hébergées dans l'Union européenne, et chaque fournisseur de modèle connecté (GPT, Claude, Gemini et d'autres) applique le zéro rétention. Pour la vue d'ensemble, voir IA conforme au RGPD.
Questions fréquentes
Quels sont des exemples de données personnelles? Nom, adresse, e-mail, téléphone, numéro de sécurité sociale, adresse IP, photo, voix, géolocalisation, revenus. Mais aussi une combinaison d'informations indirectes qui permet de reconnaître une personne.
Une adresse IP est-elle une donnée personnelle? En règle générale, oui, car elle peut être reliée à un abonné ou à un appareil, et donc à une personne, avec des informations supplémentaires.
Quelle est la différence entre donnée personnelle et donnée sensible? Toute donnée sensible est une donnée personnelle, mais pas l'inverse. Les données sensibles (santé, religion, orientation sexuelle, etc.) sont une catégorie particulière de l'article 9 du RGPD, dont le traitement est en principe interdit.
Une donnée professionnelle est-elle une donnée personnelle? Oui, si elle concerne une personne: l'e-mail professionnel d'un salarié ou son poste sont des données personnelles. Les données d'une société en tant que personne morale, elles, ne le sont pas.
Une donnée anonymisée reste-t-elle personnelle? Non. Une donnée réellement anonyme ne se rapporte plus à une personne et sort du RGPD. C'est précisément pour cela qu'elle peut être réutilisée et vendue légalement.
Pour aller plus loin
- Qu'est-ce que le RGPD? Explication simple
- Pseudonymisation et anonymisation: la différence
- Données de santé: définition et RGPD
- Qu'est-ce qu'un agent IA? Explication simple
- Qu'est-ce qu'un token en IA? Explication simple
- La trace des données
- Pourquoi vendre des données confidentielles est légal
Une question sur les données personnelles et l'IA? Écrivez-nous à [email protected] ou via le formulaire de contact dans l'application.
