Données à caractère personnel
DCP
Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, y compris par recoupement avec d'autres informations.
Le critère n'est pas le nom, c'est l'identifiabilité
Un nom est une donnée personnelle, mais une adresse IP, un identifiant publicitaire, un numéro de client ou une empreinte de navigateur le sont aussi : le test n'est pas « peut-on lire un nom ? » mais « peut-on, par des moyens raisonnables, remonter à une personne ? ». Le recoupement compte : deux informations anodines prises isolément peuvent devenir identifiantes ensemble.
Les données sensibles sont une catégorie à part
L'article 9 du RGPD isole des catégories particulières — origine, opinions politiques, convictions religieuses, santé, orientation sexuelle, données biométriques — dont le traitement est en principe interdit sauf exception. Un outil de mesure d'audience ne devrait jamais en collecter, ni directement ni par inadvertance via une URL ou un champ de formulaire.
En mesure d’audience
Une adresse IP est une donnée personnelle : c'est pour cette raison que les solutions conçues pour l'exemption de consentement s'en servent de façon transitoire, pour en déduire un pays ou une région, sans jamais la conserver sous forme identifiante. Le point de vigilance le plus fréquent n'est pas le tracker lui-même mais les URL : un e-mail ou un identifiant client glissé dans un paramètre d'URL entre dans l'outil avec le reste.