Données personnelles : ce qu’elles sont et comment elles sont collectées

Données personnelles, collecte de données, privacy, RGPD : derrière ces termes que l’on croise partout se cache une réalité très concrète pour n’importe quelle petite entreprise, cabinet, mairie ou association. Chaque formulaire de contact, chaque inscription à une newsletter, chaque réservation en ligne fabrique une trace numérique qui raconte quelque chose d’une personne. Nom, e-mail, adresse IP, historique d’achat, avis laissé sur Google… toutes ces informations personnelles sont devenues un carburant majeur de l’économie, mais aussi une source de risques si elles sont mal gérées.

Pour une structure locale, la frontière entre bon usage et dérapage n’est pas toujours évidente. À partir de quand une donnée devient-elle vraiment « personnelle » au sens juridique du terme ? Qu’est-ce qui distingue une simple statistique anonymisée d’un fichier client très identifiable ? Comment fonctionne au quotidien la protection des données imposée par le RGPD ? Et surtout, comment se fait la collecte de ces informations, parfois de façon très visible via des formulaires, parfois de manière beaucoup plus discrète via les cookies, les réseaux sociaux ou les applications mobiles ? Cet article déroule, point par point, ce qu’il faut comprendre pour garder la main sur l’identité numérique de tes clients… et sur la tienne.

En bref

• Une donnée personnelle, c’est toute information reliée à une personne physique identifiée ou identifiable, directement ou par recoupement.
• Nom, e-mail, adresse IP, localisation, mais aussi avis, habitudes d’achat ou données de santé : tout cela relève des données personnelles, parfois même de catégories dites « sensibles ».
• La collecte de données se fait via les formulaires, les cookies, les réseaux sociaux, les applications, les capteurs physiques, les caméras, etc.
• Le RGPD impose la transparence, la minimisation, une durée de conservation limitée et un vrai consentement des personnes.
• La CNIL contrôle, sanctionne et publie des guides pratiques ; le registre prévu par l’article 30 du RGPD reste la base pour documenter les traitements.
• Les fuites de données, le profilage marketing ou politique et la biométrie montrent que la confidentialité et la « privacy » ne sont pas des détails juridiques, mais des enjeux de confiance et d’image.

Données personnelles : définition RGPD, exemples concrets et fausses idées tenaces

Avant de parler cookies ou formulaires, il faut poser la base : qu’est-ce qu’une donnée personnelle au sens du RGPD ? Le règlement européen la définit comme « toute information se rapportant à une personne physique identifiée ou identifiable ». La clé, c’est ce mot « identifiable ». Une donnée peut sembler banale isolée, mais devenir très parlante dès qu’on la recoupe avec d’autres.

Une personne est identifiée quand son nom ou son visage apparaissent. Elle est identifiable dès qu’on peut remonter jusqu’à elle avec des moyens raisonnables : croisement de fichiers, géolocalisation, historique de navigation, numéro client, etc. Une date de naissance seule n’identifie pas grand monde, mais la combinaison « femme, née le 12/04/1984, habitant dans telle petite commune, membre d’un club de tennis » peut suffire à pointer une personne précise.

Il faut aussi insister sur un point souvent mal compris : une donnée n’a pas besoin d’être « vraie » pour être personnelle. Un commentaire erroné ajouté dans le CRM d’une boutique (« client difficile », « toujours en retard ») reste une information personnelle, car elle se rapporte à quelqu’un et peut influencer la façon dont on le traite.

Exemples de données personnelles à ne pas sous-estimer dans un petit business

Dans la pratique d’une TPE ou d’une PME, les données personnelles se nichent partout. Pas seulement dans les gros logiciels de gestion. Quelques exemples très concrets :

Dans une boulangerie qui propose une carte de fidélité, le fichier clients contient les noms, numéros de téléphone, parfois la date d’anniversaire pour envoyer une remise. Ajoute à ça le suivi des achats (baguette sans gluten, pâtisseries vegan, horaires de passage) et tu obtiens déjà un mini-profil alimentaire et de rythme de vie.

Un cabinet de kiné enregistre des rendez-vous avec nom, coordonnées, mais aussi des éléments de santé. Là, on bascule sur ce que le RGPD appelle des catégories particulières de données (souvent qualifiées de données sensibles) : informations médicales, données biométriques, opinions politiques, orientation sexuelle, etc. Leur traitement est très encadré.

Même une simple fiche contact sur un site vitrine collecte déjà plusieurs informations personnelles : adresse IP, e-mail, parfois localisation approximative. Si le site utilise des outils de tracking publicitaire, on y ajoute des données d’usage : pages visitées, durée de visite, clics.

Ce qui n’est pas une donnée personnelle… sauf quand ça le devient

À l’inverse, tout ce qui concerne une personne morale (une société) n’entre pas dans le champ, en principe. L’adresse du siège social d’une entreprise, le numéro de téléphone de l’accueil ou un e-mail générique du type « contact@mon-entreprise.fr » ne sont pas des données personnelles.

Mais la frontière devient floue dès qu’une personne physique peut être visée. L’adresse pro « prenom.nom@notaire-dupont.fr » identifie clairement un individu. De même, certains registres publics (registre du commerce, annuaire des professions libérales) contiennent des données personnelles sur les dirigeants, même si elles sont publiées par la loi.

Autre cas piégeux : les données dites anonymisées. Dès lors qu’un traitement garantit qu’aucune personne n’est plus identifiable, le RGPD ne s’applique plus. Sauf que dans la vraie vie, anonymiser correctement est difficile. Des chercheurs ont montré qu’avec quatre points de géolocalisation issus d’un mobile, on pouvait ré-identifier 95 % des individus dans un jeu de données. Pour une petite structure, mieux vaut considérer qu’une donnée est personnelle tant qu’un doute subsiste.

Ce premier bloc pose donc la règle du jeu : chaque fois qu’une information peut directement ou indirectement renvoyer à quelqu’un, elle entre dans le champ de la protection des données. La suite devient plus simple à comprendre.

Comment nos données personnelles sont collectées en ligne : formulaires, cookies, IP, réseaux sociaux

Une fois la définition posée, la question qui fâche arrive vite : concrètement, comment la collecte de données s’opère-t-elle quand on navigue sur le web ou qu’on utilise une appli ? Tout ne se limite pas au petit formulaire « Nom / Prénom / E-mail ». Les canaux de collecte se sont multipliés, souvent de façon très discrète.

Pour un entrepreneur, comprendre ces mécanismes permet deux choses. D’abord, mieux maîtriser sa propre stratégie digitale et éviter de surcollecter. Ensuite, garder un regard lucide sur les services « gratuits » utilisés au quotidien, qui reposent souvent sur l’exploitation de la trace numérique des utilisateurs.

Des formulaires visibles… et des capteurs beaucoup plus silencieux

Le canal le plus évident reste le formulaire : contact, inscription newsletter, création de compte, demande de devis. Dans ces cas-là, la personne fournit ses informations personnelles de manière volontaire. Encore faut-il que les champs soient pertinents : exiger une date de naissance pour télécharger une simple brochure B2B n’a pas beaucoup de sens.

À côté, des capteurs moins visibles tournent en continu :

• les cookies et autres traceurs qui enregistrent les pages vues, le temps passé, les boutons cliqués ;
• les identifiants publicitaires des smartphones, utilisés par les applis pour suivre les usages et afficher des pubs ciblées ;
• les balises dans les e-mails marketing, qui détectent l’ouverture et les clics ;
• les outils d’analyse (type Google Analytics, Matomo) qui collectent des adresses IP, des résolutions d’écran, des parcours de navigation.

À ce stade, la question revient souvent : une adresse IP, est-ce vraiment une donnée personnelle ? Les juges européens ont répondu oui, y compris pour les IP dynamiques, car elles permettent de rattacher une navigation à un terminal, donc à un individu, via son fournisseur d’accès ou son compte utilisateur.

Adresse IP, géolocalisation et autres signaux techniques : des identifiants puissants

Le duo adresse IP + géolocalisation vaut de l’or en marketing comme en cybersécurité. Avec l’IP seule, un site peut repérer les connexions suspectes, filtrer certains pays ou limiter les abus. En ajoutant quelques couches (heure de connexion, langue du navigateur, type d’appareil), on obtient déjà un bon « portrait technique » de l’utilisateur.

Pour mesurer l’impact de ces signaux, il suffit de regarder les outils qui capitalisent dessus. Certains services de tracking IP permettent, à partir d’une simple visite sur une page, de déduire la localisation approximative et parfois l’organisation derrière la connexion. Le sujet est creusé sur des ressources comme cette analyse du traçage d’adresse IP, qui montre bien le potentiel de profilage derrière un simple clic.

La géolocalisation poussée (via GPS, wifi ou bornes 4G) va encore plus loin. Couplée à l’historique des déplacements, elle permet de déduire le domicile, le lieu de travail, les habitudes (salle de sport, cabinet médical, lieux de culte). Là, la frontière entre simple statistique marketing et atteinte sérieuse à la vie privée devient vite délicate.

Les plateformes vidéo et les réseaux sociaux regorgent de contenus pédagogiques sur ce sujet. Prendre 10 minutes pour regarder un décryptage bien fait aide souvent plus qu’un texte juridique de 80 pages.

Réseaux sociaux, capital social et gestion de l’intimité en ligne

Sur les réseaux sociaux, la frontière entre « public » et « privé » se brouille totalement. Publier une photo de soirée, un avis politique ou un commentaire sur un restaurant, c’est accepter que ces éléments deviennent partie intégrante de son identité numérique. Sauf que, même visibles à tout le monde, ces informations restent des données personnelles au sens du RGPD.

Les sociologues parlent de gestion du « capital social » en ligne. L’utilisateur choisit ce qu’il dévoile pour obtenir des retours : likes, commentaires, opportunités professionnelles. Mais ce dévoilement a un coût en privacy : chaque information ajoutée dans le puzzle renforce la capacité de profilage des plateformes, des annonceurs ou d’acteurs moins bien intentionnés.

Pour une structure qui anime une page Facebook ou Instagram, la question devient : que collecte exactement la plateforme sur ses fans, et que lui renvoie-t-elle ? Un simple export de statistiques montre déjà l’ampleur : tranches d’âge, centres d’intérêt, comportements d’achat. Le billet sur les informations personnelles partagées avec Facebook donne un aperçu assez parlant de ce qui circule dans les coulisses.

Au final, parler de collecte « en ligne », ce n’est plus seulement pointer du doigt les cookies. C’est regarder l’ensemble des signaux émis par un utilisateur connecté, et la manière dont les systèmes les recombinent pour reconstituer son profil. Pour toute organisation, petite ou grande, garder la main sur ce qui est collecté en son nom est devenu un enjeu central.

Collecte hors ligne, biométrie, santé : quand la donnée personnelle devient ultra sensible

La plupart des débats sur les données personnelles se focalisent sur Internet. Pourtant, des pans entiers de la collecte de données restent très physiques : fiches papier, vidéosurveillance, badgeuse d’entreprise, dossiers médicaux, capteurs IoT. Le RGPD ne s’intéresse pas au support, mais au fait qu’une personne soit identifiable.

Une caméra qui filme l’entrée d’un commerce, un micro qui capte une voix pour un assistant vocal, un scanner d’empreinte digitale pour ouvrir une porte : tout cela génère des données parfois bien plus intimes qu’un simple e-mail.

Données de santé et secret médical : un équilibre délicat

Les informations liées à la santé sont considérées comme des données sensibles par le RGPD. Elles révèlent des éléments que les personnes souhaitent, en général, garder sous un contrôle très serré : pathologies, traitements, handicap, historique d’hospitalisation. Leur collecte est possible, mais seulement pour des finalités précises (soins, remboursement, recherche) et avec des garde-fous très stricts.

Des débats anciens entourent déjà ces usages. Quand la France a déployé la Carte Vitale et les systèmes d’information hospitaliers, une partie du corps médical s’est inquiétée de voir le secret médical fragilisé par l’informatisation. À l’inverse, les promoteurs insistaient sur l’intérêt de ces données anonymisées pour la santé publique : suivi des épidémies, qualité des soins, meilleure allocation des ressources.

La règle actuelle repose sur une idée simple : si la donnée de santé reste rattachée à une personne identifiable, la protection des données doit être maximale. Quand elle est utilisée à des fins de recherche ou de pilotage, l’anonymisation ou au moins la pseudonymisation devient la norme, même si de nombreux travaux ont montré que « casser » une anonymisation mal faite restait possible.

Biométrie : quand le corps devient mot de passe

Empreintes digitales, reconnaissance faciale, analyse de l’iris, réseau veineux de la main, voix : la biométrie transforme des caractéristiques physiques ou comportementales en identifiants numériques. Par nature, ces identifiants sont uniques, stables dans le temps et difficiles à modifier. On change de mot de passe, rarement d’iris.

Le RGPD classe ces données biométriques dans les « catégories particulières », avec un régime très strict. En France, la loi informatique et libertés impose souvent une autorisation de la CNIL pour les traitements biométriques. Le principe reste l’interdiction, avec des exceptions encadrées (sécurité d’un site sensible, contrôle d’accès dans certains environnements, etc.).

Les dérives possibles se voient très bien dans des programmes étatiques comme Aadhaar en Inde, gigantesque système d’identification basé sur les empreintes et l’iris. Promu comme un outil d’inclusion sociale, il a aussi généré des exclusions massives pour des personnes dont l’authentification échouait ou qui vivaient dans des zones mal connectées. Des fuites de données à grande échelle ont nourri des craintes très fortes en matière de surveillance et de droits fondamentaux.

À l’échelle d’une petite structure, la tentation d’installer des pointeuses biométriques ou de recourir à la reconnaissance faciale pour sécuriser un accès se heurte donc à un mur réglementaire. Dans beaucoup de cas, une solution moins intrusive (badge, mot de passe renforcé, double facteur) sera préférable et plus simple à justifier.

Collecte hors ligne : papier, vidéosurveillance, IoT… toujours du RGPD

Un autre réflexe répandu consiste à croire que la réglementation ne s’applique qu’aux outils numériques modernes. Un classeur rempli de fiches RH dans un bureau, c’est aussi un traitement de données personnelles. Idem pour les listes de présence, les carnets de rendez-vous, les archives de factures nominatives.

La vidéosurveillance ajoute une couche : chaque visage enregistré, chaque plaque d’immatriculation filmée constitue une donnée personnelle. Les dispositifs les plus récents de vidéosurveillance algorithmique ou de reconnaissance faciale, utilisés par certaines forces de l’ordre, se situent à la limite de ce que la CNIL accepte, tant le risque de surveillance généralisée est élevé.

Enfin, l’Internet des objets commence à concerner aussi les commerces et petites industries : balances connectées, capteurs de fréquentation, étiquettes intelligentes. Ces équipements enregistrent des signaux qui peuvent, là encore, être reliés à des individus, surtout quand ils dialoguent avec des smartphones ou des comptes clients.

En résumé, la donnée personnelle ne naît pas seulement derrière un écran. Elle circule dans les salles d’attente, les vitrines filmées, les boîtes à clés connectées. La frontière entre « online » et « offline » s’estompe ; ce qui compte, c’est la capacité de rattacher un élément à une personne identifiée ou identifiable.

Consentement, minimisation, droits des personnes : les règles du RGPD appliquées à la collecte

Une fois qu’on a compris l’ampleur du terrain, la question devient pragmatique : comment collecter des données personnelles sans se mettre hors jeu ? Le RGPD n’interdit pas la collecte de données. Il pose un cadre : licéité, transparence, proportionnalité, sécurité. Pour une TPE/PME, l’enjeu est moins de tout connaître par cœur que d’installer quelques réflexes.

Le règlement européen s’articule autour de grands principes. Ils valent pour n’importe quel traitement, que ce soit une base clients, un fichier de bénévoles ou un outil de newsletter. Le tableau suivant permet de les visualiser rapidement.

Le consentement : oui, mais pas comme simple case décochée

Le mot consentement est parfois utilisé à toutes les sauces. Pour le RGPD, il a une définition précise : une manifestation de volonté libre, spécifique, éclairée et univoque. En clair, la personne doit comprendre à quoi elle dit oui, pouvoir refuser sans subir de dommage, et le signal doit être clair (case à cocher, clic, signature).

Exemple concret : sur un site d’un camping, une case déjà cochée pour recevoir des offres partenaires n’est pas un consentement valable. Demander l’acceptation des cookies marketing via un bouton « Tout accepter » en tout petit, sans détailler les finalités, pose aussi problème. La CNIL a déjà sanctionné des acteurs pour ce type de pratiques.

Autre nuance : tous les traitements n’ont pas besoin de reposer sur le consentement. Pour exécuter un contrat (livrer un colis, gérer une réservation), la base légale peut être le contrat lui-même. Le consentement devient central pour les usages plus intrusifs : prospection par e-mail, dépôt de cookies non techniques, réutilisation des données pour de nouvelles finalités.

Minimisation et durées de conservation : arrêter l’accumulation réflexe

Beaucoup de structures ont hérité d’un réflexe : tout garder, tout le temps. Disques durs pleins de fichiers Excel obsolètes, anciens CRM jamais purgés, boîtes mail où les CV de candidats de 2012 traînent encore. C’est exactement ce que le RGPD vise à casser.

Le principe de minimisation invite à se poser trois questions avant chaque demande d’information : en ai-je vraiment besoin ? Pour quoi faire ? Pendant combien de temps ? Si la réponse n’est pas limpide, la donnée ne devrait pas être collectée. C’est aussi simple (et aussi exigeant) que ça.

Pour la durée, la logique est similaire. Un prospect qui n’a pas interagi depuis 3 ans, un ancien salarié parti il y a 10 ans, un client ponctuel de 2016 : faut-il vraiment conserver toutes leurs données en clair ? Souvent, une anonymisation statistique suffit pour les besoins de reporting, et le reste peut être supprimé.

Droits des personnes : accès, rectification, suppression, portabilité

Au cœur de la protection des données, on trouve une idée simple : chacun doit pouvoir garder la main sur ce qui est stocké à son sujet. Concrètement, les personnes disposent de plusieurs droits :

• droit d’accès : savoir quelles données sont détenues, pour quelles finalités ;
• droit de rectification : corriger une adresse, un nom mal orthographié, une information inexacte ;
• droit à l’effacement (sous conditions) : demander la suppression quand les données ne sont plus nécessaires ou que le consentement est retiré ;
• droit d’opposition : s’opposer à certains traitements, comme la prospection ;
• droit à la portabilité : récupérer ses données dans un format structuré pour les réutiliser ailleurs.

Pour une petite structure, respecter ces droits passe par une organisation minimale : identifier un point de contact, documenter ses traitements (le fameux registre prévu par l’article 30 du RGPD), et mettre en place une procédure en interne pour répondre dans les délais. Sur ce dernier point, des guides comme celui consacré au registre RGPD donnent une bonne base de travail.

L’essentiel est de ne pas voir ces obligations comme un poids purement administratif. Bien gérés, ces droits deviennent un levier de confiance. Un client à qui l’on répond clairement sur l’usage de ses données est souvent plus enclin à continuer la relation.

Il existe d’excellents formats vidéo pensés pour les petites structures, avec des cas concrets et des check-lists actionnables. Un bon complément à une lecture plus juridique.

Fuites, exploitation économique, rôle de la CNIL : quand la protection des données devient une question de confiance

Dernier volet, et pas des moindres : ce qui se passe quand les choses tournent mal, ou simplement quand la logique business prend le dessus sur la confidentialité. Les dernières années ont été riches en scandales : listes de mots de passe en vente, bases de données clients exposées, profilage politique à grande échelle. Pour un commerce de quartier, ces affaires peuvent sembler lointaines, mais elles façonnent les attentes des clients et la sévérité des autorités.

Une chose est certaine : les données personnelles sont devenues un actif économique majeur. Elles se revendent, se croisent, s’analysent. Certains éditeurs de logiciels de paie partagent par exemple des données agrégées avec des tiers, sauf opposition expresse des utilisateurs. Les grandes plateformes bâtissent leur modèle sur la gratuité en échange du profilage publicitaire.

Fuites de données : de Dropbox à Facebook, un inventaire peu rassurant

Depuis une dizaine d’années, la liste des fuites massives s’allonge. 68 millions de mots de passe dérobés chez un hébergeur de fichiers, plus de 100 millions d’identifiants mis en vente après un piratage de réseau social professionnel, 145 millions de comptes clients exposés chez un site d’enchères. Sans parler des 540 millions de profils Facebook stockés sans protection suffisante, ou des centaines de millions d’enregistrements contenant noms, téléphones et habitudes d’utilisation.

À chaque fois, le scénario se répète : faille de sécurité, détection tardive, notification parfois laborieuse, puis exploitation par des cybercriminels. Hameçonnage, usurpation d’identité, chantage, ventes de listes ciblées… Les impacts pour les personnes concernées sont rarement anodins.

Pour une petite entreprise, ces exemples peuvent sembler hors de portée. Pourtant, les attaques ne se limitent plus aux géants. Les rançongiciels visent de plus en plus des TPE mal protégées, justement parce qu’elles sont perçues comme des cibles faciles. Dans ce contexte, faire réaliser un audit de sécurité informatique ou à minima renforcer ses pratiques internes n’a plus rien d’un luxe, comme le rappellent des ressources dédiées à l’audit de sécurité et à la cybersécurité opérationnelle.

Exploitation commerciale et politique : le revers de l’économie de la donnée

L’affaire Cambridge Analytica a mis en lumière un autre usage des données personnelles : le micro-ciblage politique. À partir de likes, de posts, de profils d’amis, des algorithmes ont bâti des segments d’électeurs (indécis, anxieux, colériques) afin de diffuser des messages sur mesure, parfois trompeurs. L’objectif n’était plus de vendre un produit, mais d’influer sur des scrutins nationaux.

Plus près du terrain, les logiques ne sont pas si différentes. Un site e-commerce qui analyse les paniers abandonnés, un restaurant qui suit les habitudes de ses habitués, un office de tourisme qui profile les visiteurs par provenance et centres d’intérêt. Tant que les règles du RGPD sont respectées, ces pratiques restent acceptables.

La ligne rouge survient quand la personne perd totalement le contrôle de sa privacy. Quand elle ne sait plus qui détient quoi, ni comment ses informations personnelles sont revendues ou croisées. C’est ce qui alimente aujourd’hui une méfiance croissante envers certaines plateformes, et ce qui renforce l’exigence de transparence dans les relations commerciales, y compris locales.

CNIL, autorités de contrôle et émergence de l’intégrité numérique

En France, la CNIL joue le rôle d’arbitre. Elle publie des recommandations, accompagne les organisations, mais dispose aussi d’un vrai pouvoir de sanction. Des amendes importantes ont déjà été infligées pour manquements à l’information, collecte excessive, cookies posés sans consentement ou sécurité insuffisante.

Son action ne se limite pas aux mastodontes du web. Des collectivités, des associations, des PME ont également été rappelées à l’ordre. Le message est clair : la protection des données n’est pas réservée aux géants. C’est un droit fondamental qui concerne tout le monde.

Une notion commence d’ailleurs à prendre de l’ampleur : l’intégrité numérique. L’idée consiste à reconnaître que les données personnelles font partie de la personne elle-même, un peu comme l’intégrité physique. Porter atteinte à ces données, les manipuler sans transparence, les exposer par négligence, reviendrait donc à porter atteinte à cette intégrité. Dans cette perspective, traiter correctement les données personnelles n’est plus seulement une affaire de conformité, mais une forme de respect élémentaire.

Pour les entrepreneurs, cette approche a un mérite : elle aligne l’éthique, l’image de marque et le juridique. Une structure qui explique clairement ce qu’elle collecte, qui sécurise ses fichiers, qui répond aux demandes de suppression, envoie un signal fort de sérieux. À l’heure où la confiance se gagne aussi en ligne, c’est rarement un mauvais investissement.

Quelles sont les données personnelles les plus courantes collectées par un site vitrine ?

Un simple site vitrine collecte déjà plusieurs données personnelles : l’adresse IP des visiteurs, des identifiants techniques (navigateur, appareil, langue), parfois des données de navigation via les cookies (pages consultées, temps passé, clics). Dès qu’un formulaire est présent, on ajoute le contenu saisi : nom, prénom, e-mail, numéro de téléphone, message libre, voire des pièces jointes. Si le site utilise des outils tiers (Google Analytics, pixels publicitaires, captcha, vidéo embarquée), ces acteurs accèdent eux aussi à une partie de la trace numérique de l’utilisateur.

Une adresse IP est-elle vraiment considérée comme une donnée personnelle ?

Oui. La Cour de justice de l’Union européenne a confirmé qu’une adresse IP, même dynamique, est une donnée personnelle, car elle permet d’identifier indirectement un utilisateur via son fournisseur d’accès ou en la recoupant avec d’autres informations. Elle entre donc dans le champ du RGPD. En pratique, cela signifie que l’utilisation d’outils qui exploitent les adresses IP (statistiques, sécurité, géolocalisation approximative) doit être encadrée, expliquée dans la politique de confidentialité et, selon les cas, associée à un mécanisme de consentement pour les usages marketing.

Comment savoir si ma collecte de données respecte le RGPD ?

Un bon point de départ consiste à dresser un inventaire des traitements : quelles données sont collectées, pour quelles finalités, sur quels supports, avec quels destinataires et pendant combien de temps. Ce travail aboutit à un registre des traitements, prévu par l’article 30 du RGPD. Ensuite, il faut vérifier que chaque traitement repose sur une base légale (contrat, obligation légale, consentement, intérêt légitime), que seules les données pertinentes sont demandées (minimisation) et que des mesures de sécurité raisonnables sont en place. Enfin, il est nécessaire d’informer clairement les personnes et de pouvoir répondre à leurs demandes d’accès, de rectification ou de suppression.

Les données publiées volontairement sur les réseaux sociaux restent-elles protégées ?

Le fait de publier une information sur un réseau social ne lui fait pas perdre son statut de donnée personnelle. Un post public, une photo ou un commentaire restent couverts par le RGPD dès lors qu’ils se rapportent à une personne identifiable. En revanche, la personne a consenti à une certaine diffusion en utilisant la plateforme selon ses règles. Les acteurs qui réutilisent ces données (publicitaires, outils de veille, scrapers) doivent respecter les principes de protection des données, en particulier lorsqu’ils recombinent ces contenus pour profiler les utilisateurs ou les cibler de manière fine.

Que faire en cas de suspicion de piratage de données personnelles dans une petite entreprise ?

En cas de suspicion de piratage (comptes compromis, comportements anormaux, fichiers chiffrés), la priorité est de contenir l’incident : isoler les machines concernées, modifier les mots de passe, couper les accès externes si nécessaire. Il faut ensuite analyser l’ampleur de la fuite possible : quelles catégories de données sont concernées, combien de personnes potentielles, quelles conséquences. Le RGPD impose, dans certains cas, une notification à la CNIL et aux personnes touchées. Pour une petite structure qui ne dispose pas d’équipe technique dédiée, se faire accompagner par un prestataire en cybersécurité ou un expert en protection des données permet de limiter les dégâts et de renforcer l’infrastructure pour la suite.