Une donnée personnelle ou une donnée à caractère personnel (DCP) correspond en droit français à toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification de cette personne physique ou bien à un ou plusieurs éléments qui sont propres à cette personne. En Europe, les données ayant été l'objet d'un procédé d'anonymisation ne sont plus considérées comme des données à caractère personnel.
Ces données sont protégées par divers instruments juridiques notamment la loi Informatique, fichiers et libertés de 1978 et le Règlement général sur la protection des données ou RGPD (abrogeant la directive 95/46/CE) au niveau communautaire ainsi que la Convention pour la protection des données personnelles du Conseil de l'Europe. À l'instar de la CNIL française, beaucoup de pays disposent aujourd'hui d'autorités chargées de la protection des données à caractère personnel, qui sont souvent des autorités administratives indépendantes (ou des équivalents de celles-ci), chargées de faire appliquer le droit de la protection des données à caractère personnel.
En France, la loi énonce que « toute personne dispose du droit de décider et de contrôler les usages qui sont faits des données à caractère personnel la concernant ».
Le règlement européen RGPD a été adapté en droit interne par la loi du relative à la protection des données personnelles. Par ailleurs, cette loi donne à la CNIL des missions supplémentaires et un pouvoir de contrôle et de sanction accru en matière de protection des données..
Définition Dans les textes Les définitions retenues dans les différents textes fondant le droit de la protection des données à caractère personnel ne divergent pas fondamentalement mais offrent un niveau de détail variable.
Droit de l'Union européenne L'article 4 du RGPD définit la donnée à caractère personnel comme . Cette définition est légèrement plus approfondie que celle qui figurait à l'article 2 de la directive 95/46/CE, laquelle précisait que la personne devenait identifiable .
Droit français La loi informatique et libertés ne formulant pas de définition de la donnée à caractère personnelle, celle de l'article 4 du RGPD s'applique.
Selon l'article 2 de la loi informatique et libertés en vigueur jusqu'au , une donnée à caractère personnelle était définie comme . Elle ajoutait que . Lors de la transposition, le législateur français n'a pas repris exactement les termes de la directive de 1995, laquelle ajoute dans son considérant 26 que .
La loi informatique et libertés originale du référait plutôt aux « informations nominatives », celles donnant « une définition du profil ou de la personnalité de l'intéressé » (article 2), et « qui permettent sous quelque forme que ce soit, directement ou non, l'identification des personnes physiques auxquelles elles s'appliquent » (article 4).
Droit extra-communautaire La Convention 108 du Conseil de l'Europe définit les données à caractère personnel en son article 2 comme « toute information concernant une personne physique identifiée ou identifiable ».
Étendue de la notion de donnée à caractère personnel La notion de donnée à caractère personnel fait l'objet d'une définition ample, et est appliquée de manière large par les juridictions et les autorités nationales..
Exemples de données à caractère personnel Sont considérées comme des données à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée directement ou indirectement à l'aide d'un ou plusieurs identifiants. Ces identifiants peuvent être des informations directement nominatives telles que le nom, le prénom, la photographie du visage, mais aussi indirectement nominatives, telles que la date et le lieu de naissance, l'adresse du domicile, l'adresse électronique, le pseudonyme, un numéro de référence, un code de pseudo anonymisation ou le numéro de téléphone, qui peuvent être reliées à la personne par recoupement d'informations. Une adresse IP est également considérée comme une donnée à caractère personnel, qu'elle soit fixe ou dynamique car elle peut être utilisée, sans connaître le nom réel de l'individu , pour tracer ses comportements sur internet, construire des "profils" détaillés et ainsi envoyer des publicités personnalisées basées sur ses habitudes de navigation et son historique d'achat.
Ces données peuvent être objectives, comme le groupe sanguin, le numéro de sécurité sociale ou de carte bancaire, ou subjectives, comme des avis ou des appréciations (dans les « zones bloc-note » des logiciels de gestion client, par exemple) sur la personne concernée, lesquels n'ont même pas besoin d'être vrais.
Les données n'ont pas à être structurées ni même contenues dans une base de données pour être à caractère personnel. Elles ne doivent pas non plus être nécessairement exploitables par celui qui les a en sa possession.
De même, le format est indifférent : il peut s'agir d'images (photographies, tableau, dessins), de vidéos (enregistrements de vidéosurveillance), de sons (échantillons de la voix), d'une partie du corps (empreinte digitale, rétinienne ou veineuse).
En revanche, une donnée à caractère personnel ne peut concerner qu'une personne physique, les informations relatives aux personnes morales n'entrant pas dans le cadre de la réglementation sur les données personnelles. Pour autant, des fichiers tels que le registre du commerce et des sociétés contiennent de nombreuses données à caractère personnel, parmi lesquelles les informations relatives aux dirigeants, sur ce point entre autres il est à noter que la réglementation sur les données personnelles doit être considérée conjointement avec d'autres réglementations qui peuvent limiter certains droits tels que le droit à la suppression ou à l'accès des données personnelles.
Exemple des données des dossiers passagers (PNR) Les données des dossiers passagers (ou PNR, de l'anglais Passenger Name Record) sont des données personnelles concernant tous les détails d'un voyage pour des passagers voyageant ensemble. La CNIL, et ses homologues européens réunis au sein du G29, considèrent que l'échange de ces données entre États ainsi que l'utilisation qui en est faite soulèvent un certain nombre de problèmes quant au respect de la vie privée, particulièrement avec les États-Unis dont la législation protège moins bien ces données que ne le fait la législation de l'Union européenne. Dans son avis concernant la décision-cadre du Conseil européen de , qui reprenait maintes dispositions de l'accord entre l'UE et les États-Unis de sur l'échange des données PNR, le G29 déclarait : G29, Avis commun sur la proposition de décision-cadre du Conseil relative à l’utilisation des données des dossiers passagers (PNR) à des fins répressives présentée par la Commission le 6 novembre 2007.. En , le Parlement européen a donné son aval au stockage d’informations sur les passagers aériens européens par les autorités américaines.. En , le Parlement Européen a adopté la Directive sur les données des dossiers passagers de l'UE..
Exemple des données médicales
Les données médicales surtout quand elles sont nominatives sont considérées comme des « données sensibles » par le RGPD et par la loi Informatique et libertés. Elles ne peuvent être collectées que dans certains cas, encadrés par la loi, par exemple pour le dossier médical informatisé d'un patient hospitalisé. Le rapport Babusiaux de 2003 préconisait de les transmettre aux CPAM (Caisses primaires d'assurance maladie), aux mutuelles et aux assurances après anonymisationUn rapport approuve la diffusion de données médicales aux assureurs, Transfert, 20 juin 2003. Rapport Babusiaux.. Une petite minorité de médecins s'est rebellé contre l'informatisation des dossiers médicaux, lors de la mise en place de la Carte Vitale, en alléguant la nécessité de protéger le secret médical.. La « Loi relative à l'assurance maladie » () prévoit la création d'un Institut des données de santé (IDS, groupement d'intérêt public, opérationnel en 2007) puis aussi soumis à la loi de 2011 de simplification et d'amélioration de la qualité du droitvoir chapitre II de la loi du 17 mai 2011 de simplification et d'amélioration de la qualité du droit.) ; il réunit l'État, les caisses nationales d'assurance maladie, l'Union nationale des organismes d'assurance maladie complémentaire et l'Union nationale des professions de santé et doit assurer la cohérence et la qualité des systèmes d'information utilisés pour la gestion du risque maladie ; il et publie annuellement un rapport d'activité d'abord transmis au Parlement.
Exemple du SIDA En France à la fin des années 1990, le secrétaire d'État à la santé Bernard KouchnerBernard Kouchner du gouvernement Jospin. propose l'inclusion du SIDA dans la liste des maladies infectieuses à déclaration obligatoire, qui implique une déclaration obligatoire mais anonymisée des séropositifs. Cette démarche est soutenue par les associations de lutte contre le SIDA, du moment que les données étaient anonymiséesEric Favereau, « Polémique sur la déclaration obligatoire de la séropositivité », Libération, 31 janvier 1998 .Eric Favereau, « Sida: les femmes de plus en plus touchées. La déclaration (obligatoire et anonyme) de la séropositivité est toujours à l'ordre du jour », Libération, 17 novembre 1997 ..
Jean-Baptiste Brunet, directeur du Centre européen de surveillance du sida soutient aussi cette idée, à l'inverse du Conseil national du sida et des hépatites virales qui souligne les « risques d'atteinte aux libertés individuelles » ainsi que la moindre efficacité de « mesures obligatoires qui ne sont pas directement dans l'intérêt des malades » « l'obligation supposerait un dispositif automatique, un système illusoire de sanctions en cas de non-respect de la réglementation, voire un aménagement législatif du code de santé publique ».
En , un décret impose la déclaration obligatoire du SIDA dans le cadre de la loi de 1998 sur la veille sanitairePour la procédure législative en 1999, voir le de la CNIL (année 1999), chap. V.. Un autre décret, du , inquiète les associations de lutte contre le SIDA à l'été 1999, car incluant possiblement des données nominatives dans le traitement automatisé mis en œuvre par l'Institut de veille sanitaire, avec un risque de discrimination. Le ministre annonce alors que ce décret sera modifié, et la CNIL diffèrera en la mise en œuvre par l'institut de veille sanitaire du traitement automatiséCNIL, Délibération no 99-042 du 9 septembre 1999..
Exemple des données biométriques
La biométrie « désigne une technologie d'identification qui consiste à transformer une caractéristique morphologique ou comportementale en une empreinte numérique. Son objectif est d'attester l'unicité d'une personne à partir de la mesure d'une partie inchangeable et immaîtrisable de son corps ».. Le règlement 2016/679 les définit comme « les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques » (article 4 (14)).
Pour être employées, les caractéristiques en question doivent répondre à certaines exigences cumulatives : elles doivent être uniques, universelles, permanentes et mesurables.. Les caractéristiques du corps susceptibles d'être employées par un dispositif d'identification ou d'authentification biométriques sont notamment l'empreinte digitale, le contour de la main, l'analyse de la rétine, de l'iris, du réseau veineux du doigt, de la main ou du visage, la géométrie faciale, jusqu'à l'ADN. Toutes les données biométriques extraites de ces caractéristiques lors de l'enrôlement sont des données à caractère personnel.