RGPD – Données personnelles

Le terme « données personnelles » est la porte d’entrée à l’application du Règlement général sur la protection des données (RGPD). Le Règlement général sur la protection des données s’applique uniquement si un traitement de données concerne des données personnelles. Le terme est défini à l’art. 4 (1). Les données personnelles sont toutes les informations qui se rapportent à une personne physique identifiée ou identifiable.

Les personnes concernées sont identifiables si elles peuvent être identifiées directement ou indirectement, notamment par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne ou l’une de plusieurs caractéristiques spéciales, qui exprime l’identité physique, physiologique, génétique, mentale, commerciale, culturelle ou sociale de ces personnes physiques. En pratique, cela inclut également toutes les données qui sont ou peuvent être attribuées à une personne de quelque manière que ce soit. Par exemple, le téléphone, le numéro de carte de crédit ou de personnel d’une personne, les données de compte, la plaque d’immatriculation, l’apparence, le numéro de client ou l’adresse sont tous des données personnelles.

Étant donné que la définition inclut « toute information », on doit supposer que le terme « données personnelles » doit être interprété aussi largement que possible. Cela est également suggéré par la jurisprudence de la Cour de justice de l’Union européenne, qui considère aussi des informations moins explicites, telles que les enregistrements des heures de travail comprenant des informations sur le moment où un employé commence et termine sa journée de travail, ainsi que les pauses ou les moments qui ne relèvent pas des heures de travail, comme des données personnelles. De même, les réponses écrites d’un candidat lors d’un test et toute remarque de l’examinateur concernant ces réponses sont des « données personnelles » si le candidat peut être théoriquement identifié. Il en va de même pour les adresses IP. Si le responsable du traitement a la possibilité légale d’obliger le fournisseur à fournir des informations supplémentaires permettant d’identifier l’utilisateur derrière l’adresse IP, cela constitue également des données personnelles. De plus, il faut noter que les données personnelles n’ont pas besoin d’être objectives. Les informations subjectives telles que des opinions, des jugements ou des estimations peuvent être des données personnelles. Ainsi, cela inclut une évaluation de la solvabilité d’une personne ou une estimation de la performance au travail par un employeur.

Enfin et surtout, la loi stipule que l’information pour une référence personnelle doit se rapporter à une personne physique. En d’autres termes, la protection des données ne s’applique pas aux informations concernant des entités juridiques telles que des sociétés, des fondations et des institutions. En revanche, pour les personnes physiques, la protection commence et s’éteint avec la capacité juridique. En principe, une personne obtient cette capacité à sa naissance et la perd à sa mort. Les données doivent donc être attribuables à des personnes vivantes identifiées ou identifiables pour être considérées comme personnelles.

En plus des données personnelles générales, il faut avant tout prendre en compte les catégories particulières de données personnelles (également appelées données personnelles sensibles) qui sont hautement pertinentes car soumises à un niveau de protection plus élevé. Ces données incluent les données génétiques, biométriques et de santé, ainsi que les données personnelles révélant l’origine raciale et ethnique, les opinions politiques, les convictions religieuses ou idéologiques ou l’appartenance syndicale.