Un salarié quitte l’entreprise, et on découvre que son poste contenait un tableur avec les numéros de sécurité sociale de toute l’équipe, stocké en clair sur un drive partagé. Ce genre de situation illustre un problème concret : on ne peut pas protéger des données qu’on n’a pas identifiées. Avant de parler de conformité au RGPD, il faut savoir quels types de données exigent une protection, et pourquoi certaines catégories imposent des obligations plus strictes.
Données personnelles courantes : ce que le RGPD protège par défaut
Une donnée personnelle, au sens du RGPD, c’est toute information se rapportant à une personne physique identifiable. Le nom et le prénom sont les exemples évidents, mais la définition va bien plus loin.
A lire en complément : Quels sont les atouts des pays émergents ?
Une adresse IP, un identifiant de cookie, une donnée de géolocalisation ou un numéro de téléphone entrent dans le périmètre. Peu importe que l’information soit publique ou confidentielle, peu importe le support (formulaire papier, clé USB, base de données cloud).
Le point qui piège beaucoup d’organisations : le croisement de données apparemment anodines peut rendre une personne identifiable. Une date de naissance associée à un code postal et à un genre suffit dans de nombreux cas. On protège donc aussi les données qui, combinées, permettent une identification indirecte.
A voir aussi : Quels sont les déterminants de la mobilité ?
- Données d’identité : nom, prénom, date de naissance, photo, numéro de pièce d’identité
- Données de contact : adresse postale, email, numéro de téléphone
- Données numériques : adresse IP, identifiant en ligne, données de géolocalisation, logs de connexion
- Données professionnelles : CV, poste occupé, évaluations, historique de carrière
Données sensibles : un régime de protection renforcé sous le RGPD
Le RGPD distingue une catégorie à part, les données dites sensibles, dont le traitement est en principe interdit sauf exceptions limitatives. On parle ici de données qui, si elles fuitent, peuvent causer un préjudice grave : discrimination, atteinte à la vie privée, mise en danger.
Concrètement, les données sensibles couvrent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données génétiques et biométriques, les données de santé, et les données relatives à la vie sexuelle ou l’orientation sexuelle.
Pour traiter ces données, il faut un fondement juridique spécifique. Le consentement explicite est le plus courant, mais d’autres bases existent (obligation légale en droit du travail, intérêt vital de la personne, motifs d’intérêt public dans le domaine de la santé). La CNIL surveille particulièrement les traitements de données de santé et les données biométriques utilisées à des fins d’identification.
Infractions pénales et numéro de sécurité sociale
Le RGPD place aussi les données relatives aux condamnations pénales et aux infractions dans une catégorie à part. Seules certaines autorités publiques ou personnes morales agissant sous contrôle d’une autorité publique peuvent les traiter.
Le numéro de sécurité sociale (NIR) bénéficie en France d’une protection spécifique encadrée par décret. Son utilisation est restreinte à des finalités précises (paie, protection sociale, santé). Le stocker dans un tableur partagé, comme dans notre exemple d’ouverture, constitue un manquement caractérisé.
Pseudonymisation et données dans les modèles d’IA : des pièges fréquents
On entend souvent qu’il suffit de pseudonymiser les données pour sortir du champ du RGPD. Les orientations de l’EDPB publiées pour consultation en janvier 2025 confirment le contraire : une donnée pseudonymisée reste une donnée personnelle tant qu’une information supplémentaire permet de réattribuer les données à une personne. Remplacer un nom par un identifiant ne change rien si la table de correspondance existe quelque part.
Seule l’anonymisation complète, qui rend toute réidentification impossible de manière irréversible, retire les données du périmètre de protection. La différence entre les deux est technique et juridique, pas cosmétique.
Données personnelles et entraînement d’IA
La CNIL rappelle que des données personnelles intégrées dans un jeu d’entraînement d’IA ne cessent pas d’être personnelles une fois absorbées par le modèle. Elles peuvent être mémorisées par le modèle ou réapparaître dans les réponses aux prompts. La protection s’applique donc à chaque étape du cycle de vie de la donnée, de la collecte à la génération de contenu.
Pour les organisations qui utilisent des outils d’IA générative, cela signifie qu’il faut cartographier les données injectées dans ces systèmes avec la même rigueur que pour une base de données classique.
Données non personnelles dans le cloud : une protection souvent oubliée
Le RGPD ne couvre que les données personnelles. Mais d’autres types de données méritent une protection, même si elles ne concernent aucune personne physique identifiable.
Les données industrielles (plans techniques, algorithmes propriétaires, données de capteurs IoT), les données commerciales (tarifs, marges, contrats) et les données statistiques agrégées relèvent d’autres cadres. Le Data Act européen, applicable depuis septembre 2025, encadre l’accès aux données non personnelles stockées dans le cloud et les obligations de portabilité entre fournisseurs.
En pratique, la classification des données ne se limite pas au critère personnel ou non personnel. On protège aussi ce qui a une valeur économique, ce qui relève du secret des affaires, et ce qui pourrait compromettre la sécurité de l’organisation en cas de fuite.
- Données couvertes par le secret des affaires : savoir-faire, méthodes de fabrication, stratégies commerciales
- Données soumises à des obligations sectorielles : données bancaires (PCI DSS), données de santé (hébergement HDS), données de défense
- Données techniques : configurations réseau, identifiants d’accès, clés de chiffrement
Exfiltration de données : protéger la confidentialité, pas seulement la disponibilité
Le réflexe classique consiste à protéger les sauvegardes et la disponibilité des systèmes. Le panorama de la cybermenace publié par l’ANSSI pour 2025 signale une progression des incidents d’exfiltration par rapport à l’année précédente, en parallèle des rançongiciels qui restent une menace constante.
Cela change la logique de protection. Il ne suffit pas de pouvoir restaurer ses données après un incident. Il faut aussi détecter les sorties anormales de données et chiffrer les informations sensibles au repos comme en transit. Un vol de données non chiffrées expose l’organisation à une notification de violation auprès de la CNIL sous 72 heures, avec un risque de sanction proportionnel à la nature des données concernées.
La protection des données commence par leur identification et leur classification. Sans cartographie claire de ce qu’on stocke, où on le stocke et à quel niveau de sensibilité, les mesures techniques les plus sophistiquées restent aveugles. Le registre des traitements imposé par l’article 30 du RGPD n’est pas une formalité administrative : c’est l’outil qui permet de répondre à la question posée par cet article, donnée par donnée.
