Nom, prénom, adresse IP, identifiant de connexion, donnée de géolocalisation : la liste des données personnelles collectées par les sites web, les applications et les entreprises dépasse largement ce que la plupart des utilisateurs imaginent. Le RGPD définit une donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable. Comprendre précisément quelles informations sont concernées permet de mesurer l’étendue réelle de cette collecte et d’exercer ses droits de manière éclairée.
Tableau des catégories de données personnelles collectées
Les données personnelles ne forment pas un bloc homogène. Elles se répartissent en catégories aux niveaux de sensibilité très différents, ce qui conditionne les obligations du responsable de traitement.
Lire également : Qui réalise les audits ISO 27001 ?
| Catégorie | Exemples concrets | Niveau de protection RGPD |
|---|---|---|
| Identité civile | Nom, prénom, date de naissance, pseudonyme | Standard |
| Coordonnées | Adresse postale, email, téléphone fixe ou mobile | Standard |
| Données numériques | Adresse IP, identifiant de connexion, identifiant de cookie | Standard |
| Données biométriques | Empreinte digitale, réseau veineux, reconnaissance faciale | Sensible (art. 9) |
| Données de santé | Dossier médical, prescriptions, données de capteurs connectés | Sensible (art. 9) |
| Données de localisation | Géolocalisation GPS, données Wi-Fi, antennes relais | Standard, mais traçage possible |
| Opinions et convictions | Appartenance syndicale, orientation politique, croyances religieuses | Sensible (art. 9) |
La distinction entre données standard et données sensibles au sens de l’article 9 du RGPD est structurante. Les données sensibles ne peuvent être collectées qu’avec un consentement explicite ou sur un fondement juridique très encadré.
A lire en complément : Comment contrôler le parental ?
Collecte technique au-delà des cookies : ce qui transite réellement
Réduire la collecte aux cookies classiques serait inexact. Le Comité européen de la protection des données a précisé en 2024 que l’encadrement réglementaire vise aussi le stockage local du navigateur, les pixels espions et d’autres mécanismes de suivi.
Stockage local et pixels de suivi
Le localStorage et le sessionStorage du navigateur conservent des identifiants techniques sans date d’expiration automatique, contrairement aux cookies. Les pixels, intégrés dans une page ou un email, transmettent des informations (heure d’ouverture, type d’appareil, adresse IP) sans interaction visible de l’utilisateur.
Une information stockée sur le terminal peut exiger un consentement même si elle n’est pas, isolément, une donnée personnelle. Dès qu’elle permet d’identifier ou de suivre une personne en la croisant avec d’autres données, le RGPD s’applique pleinement.
Consentement multi-terminaux
Un même utilisateur consulte un service depuis son téléphone, sa tablette et son ordinateur. La collecte doit intégrer cette réalité : le consentement donné sur un terminal ne couvre pas automatiquement les autres. Les responsables de traitement doivent prévoir un mécanisme cohérent pour chaque point d’accès.
Données collectées par les sous-traitants et prestataires
Le périmètre des données personnelles collectées ne s’arrête pas à l’organisation qui gère le site ou l’application. Les prestataires techniques (hébergeurs, outils d’analyse, solutions de paiement, plateformes d’emailing) traitent des données pour le compte du responsable de traitement.
Le bilan français publié pour 2025 met en lumière des compromissions de plus en plus massives impliquant des fournisseurs ou des éditeurs de solutions. Les violations de données touchent fréquemment la chaîne de sous-traitance, ce qui élargit considérablement le périmètre à surveiller.
Le RGPD impose au responsable de traitement de s’assurer contractuellement que chaque sous-traitant offre des garanties techniques et organisationnelles suffisantes. En pratique, cela signifie vérifier :
- La localisation des serveurs et les transferts éventuels hors Union européenne, qui déclenchent des obligations supplémentaires (clauses contractuelles types, décision d’adéquation).
- Les mesures de chiffrement et de pseudonymisation appliquées aux données stockées, pour limiter l’impact en cas de fuite.
- La durée de conservation pratiquée par le prestataire, qui ne doit pas excéder ce que la finalité du traitement justifie.
Mesure d’audience et exemption de consentement : conditions réelles
La CNIL admet une exemption de consentement pour certains outils de mesure d’audience, mais les conditions sont strictes. Beaucoup de sites affichent un bandeau de cookies simplifié en estimant que leur outil d’analyse entre dans cette exemption, alors que ce n’est pas le cas.
Pour bénéficier de cette exemption, la mesure d’audience doit servir exclusivement à l’éditeur du site. Les statistiques produites doivent rester anonymes, sans interconnexion avec d’autres services. Le suivi de l’utilisateur hors du site concerné est interdit.
En revanche, dès qu’un outil de mesure transmet des données à un tiers (régie publicitaire, plateforme d’optimisation externe), l’exemption tombe. Le consentement préalable redevient obligatoire. La différence entre un outil conforme et un outil qui ne l’est pas tient souvent à un paramètre de configuration, pas à la marque de la solution.
Droits de la personne concernée sur les données collectées
Le RGPD accorde à chaque personne physique un ensemble de droits sur ses données personnelles. Ces droits ne dépendent pas du volume de données collectées ni du secteur d’activité du responsable de traitement.
- Le droit d’accès permet de savoir quelles données sont détenues, pour quelles finalités, et à qui elles ont été communiquées.
- Le droit de rectification corrige une information inexacte ou incomplète sans délai excessif.
- Le droit à l’effacement (dit « droit à l’oubli ») permet d’obtenir la suppression des données lorsque leur conservation n’est plus justifiée par la finalité initiale.
- Le droit d’opposition autorise le refus du traitement pour des raisons tenant à la situation particulière de la personne, notamment en matière de prospection commerciale.
- Le droit à la portabilité permet de récupérer ses données dans un format structuré et lisible par machine pour les transmettre à un autre responsable de traitement.
Une donnée cesse d’être personnelle uniquement lorsqu’elle est réellement anonymisée, c’est-à-dire quand aucun croisement raisonnable ne permet plus de remonter à la personne. La pseudonymisation réduit les risques, mais ne supprime pas le caractère personnel de la donnée. Le RGPD distingue clairement ces deux notions.
La collecte de données personnelles couvre un spectre bien plus large que les formulaires visibles : identifiants techniques, pixels, stockage local, données transitant par des prestataires. Chaque organisation qui collecte, directement ou via un sous-traitant, reste comptable de la conformité de l’ensemble de la chaîne de traitement.
