Données personnelles
Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, y compris les identifiants en ligne comme les identifiants de cookies, les identifiants publicitaires et les adresses IP qui permettent d’isoler quelqu’un.L’article 4, point 1 du RGPD définit les données à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable, et liste des identifiants : un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou des éléments propres à l’identité d’une personne. Le considérant 30 cite les identifiants de cookies, les adresses IP et les étiquettes RFID comme identifiants en ligne qui peuvent laisser des traces lesquelles, combinées à d’autres informations, permettent d’identifier les personnes. La Cour de justice de l’Union européenne a jugé dans l’arrêt Breyer (C-582/14, 19 octobre 2016) qu’une adresse IP dynamique est une donnée personnelle pour un exploitant de site qui dispose de moyens légaux d’identifier la personne.
La conséquence pour les cookies est qu’un identifiant unique est une donnée personnelle même sans nom, parce qu’il isole un navigateur et, à travers lui, une personne. C’est pourquoi les cookies de mesure d’audience et de publicité relèvent du RGPD autant que de la directive ePrivacy, et pourquoi « nous ne collectons pas de données personnelles » est rarement vrai d’un site qui pratique le suivi.
D’autres lois tracent la ligne de façon similaire. Les informations personnelles au sens californien incluent les informations liées à un foyer et nomment expressément les adresses IP, les cookies, les beacons, les pixels et les identifiants publicitaires. La LGPD brésilienne, la KVKK turque et la Loi 25 du Québec retiennent l’identifiabilité comme critère ; la POPIA sud-africaine liste les identifiants en ligne et couvre même les personnes morales ; l’Australie demande si la personne est raisonnablement identifiable. Le contraire des données personnelles, ce sont les données anonymisées, et les données pseudonymisées se situent entre les deux : toujours personnelles, mais moins risquées.