GuiGui's Show

Pour rappel, une donnée personnelle n'est pas forcément nominative, c'est plus vaste. Une donnée, ou un ensemble de données, publiée ou non, qui peut être liée, par quiconque et par tous moyens, maintenant ou dans le futur, à une personne ou un groupe restreint de personnes est une donnée à caractère personnel (DCP). Une somme de données persos, ça peut définir un profil fantôme : on ne sait pas encore, mais on va savoir (exemple de la collecte des pages web lues, car elles intègrent toutes une police de caractère distante).

Un numéro de compte client est une donnée identifiée auprès d'un responsable de traitement (RT), car il l'a collecté ou associé à une identité. Une plaque d'immatriculation ou un numéro de sécu est une donnée identifiante : quelqu'un d'autre que le RT peut faire le lien (si je publie la photo d'une plaque d'immatriculation, je suis un RT en incapacité de nommer le titulaire de la carte grise, mais un tiers le peut). Les exemples de l'article pointé sont des données possiblement identifiantes : à première vue, un RT qui les collecterait peut ne pas avoir conscience qu'elles sont identifiantes. Le RGPD protège ces trois types de données (d'où l'exigence d'analyses d'impact sur les données détenues, par ex.).

Cet article donne quelques exemples. Mes préférés sont les traces GPS de footing (numéro 3), la balance connectée (numéro 6), la vente de médicaments (numéro 8) et le triplet genre / date de naissance / code postal (87 % de ré-identification).

(Le terme consacré est « donnée à caractère personnel », pas « donnée personnelle », mais ça va plus vite. :- )

Via https://twitter.com/aeris22.