- L’approche relative reste déterminante : il y a données personnelles lorsque le responsable du traitement des données peut établir une identification à l’aide de données de référence accessibles.
- La singularisation (ensembles de données uniques) ne suffit pas en soi ; les données génétiques et les adresses IP ne sont pas en soi des données personnelles sans comparaison de données de référence.
David Rosenthal a publié dans l’édition 4/2017 de la digma [SwisslexDans le cadre de son travail, le CEPD a rédigé un article sur la “singularisation”, c’est-à-dire sur la question de savoir s’il suffit, pour qu’une personne soit identifiable, qu’elle ne soit pas identifiée, mais qu’elle puisse être distinguée de toutes les autres personnes par une donnée univoque. Cette question s’inscrit dans le contexte de l’article 4, point 1, du RGPD, selon lequel est considérée comme “donnée personnelle” toute information qui
notamment au moyen de Attribution à un identifiant comme […] un numéro d’identification […] ou à un ou plusieurs éléments particuliers qui constituent l’expression de l’identité […].
Le considérant 26 précise à cet égard que, lors de l’évaluation du lien avec les personnes
alle Mittel berücksichtigt werden [sollen], die von dem Verantwortlichen […] wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, comme par exemple le triage.
La question se pose donc de savoir si la mise à part – précisément la singularisation – suffit à établir la référence à la personne. En résumé, Rosenthal parvient à la conclusion suivante :
Le RGPD n’a rien changé à la notion de données personnelles. L’approche “relative”, qui consiste à déterminer si la personne qui a accès à certaines données peut ou non identifier les personnes concernées, reste valable. Cela vaut également dans l’UE, où la CJCE l’a récemment confirmé dans sa décision concernant les adresses IP. La notion de “singularisation” n’y change rien. Un ensemble de données singularise une personne lorsqu’il est si spécifique, comme une empreinte digitale, qu’il ne peut se rapporter qu’à elle, même si l’on ne sait pas de qui il s’agit. C’est le cas des données génétiques, par exemple. Le RGPD mentionne certes la singularisation comme un indice d’identifiabilité, mais elle ne suffit pas à elle seule. L’article présente à ce sujet le “Test des données de référence” : Selon cette disposition, on est en présence de données personnelles lorsqu’il y a un lien entre les deux parties. une correspondance peut être établie entre les données en question et les enregistrements d’une seule personne réelle dont dispose déjà le responsable du traitement ou auxquels il a accès. Les données génétiques et les adresses IP ne sont donc jamais des données personnelles en soi.