Ce que ça veut dire pour votre entreprise
Une donnée personnelle, c'est toute information qui permet d'identifier une personne, directement ou indirectement : un nom, un email, un numéro de téléphone, une adresse postale, mais aussi une plaque d'immatriculation, une adresse IP, une photo, une voix sur un répondeur, ou un numéro de dossier interne qui renvoie à une fiche client.
C'est la notion la plus sous-estimée par les TPE : « je n'ai pas de données personnelles » est presque toujours faux. Votre fichier clients, vos devis, vos factures, les bulletins de paie de vos salariés, les CV reçus, votre boîte mail elle-même — tout cela contient des données personnelles. La question n'est donc pas si vous en traitez, mais lesquelles, et si vous le faites correctement.
Ce que dit la loi
L'article 4.1 du RGPD définit la donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable ». Le règlement distingue en outre des catégories particulières (dites « données sensibles » : santé, opinions politiques ou religieuses, orientation sexuelle, biométrie — article 9) dont le traitement est par principe interdit, sauf exceptions strictes.
Par où commencer
- Listez les grandes familles de personnes dont vous détenez des données : clients, prospects, salariés, fournisseurs.
- Pour chaque famille, notez où vivent ces données : logiciel, tableur, papier, boîte mail.
- Repérez les éventuelles données sensibles — elles exigent une vigilance particulière.