La notion de données à caractère personnel est définie par la Règlementation comme « toute information se rapportant à une personne physique identifiée ou identifiable » (personne concernée).
Plusieurs conditions sont donc nécessaires :
- Une information
- Information de tout type : nom, identifiant, code, photo, …
- Sur tout support : papier, film de caméra, disque dur, clé USB, …
- Révélée par la personne concernée ou par un tiers
- Une personne physique
- Exclusion des personnes morales et des personnes décédées
- Identifiée ou identifiable
- Directement : nom, prénom…
- Indirectement : identifiant, numéro client, plaque d’immatriculation, numéro de téléphone, empreinte, voix, image, numéro de séjour, ID patient, …
- A partir d’une seule donnée : ADN
- A partir d’un croisement d’un ensemble de données : la personne opérée tel jour de telle pathologie dans tel institut
La notion de donnée à caractère personnel s’entend très largement : la seule possibilité d’établir un lien avec une personne physique suffit.
Pour déterminer si cette possibilité existe, l’ensemble des moyens raisonnablement susceptibles d’être employé par le responsable de traitement doit être pris en considération. Le RGPD précise que doit être pris en compte « l’ensemble des facteurs objectifs, tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci ».
Article 4 du RGPD – Définitions