Données personnelles

Toutes les informations qui se rapportent à une personne identifiée ou identifiable. Par exemple, numéro de téléphone, adresse e-mail, identifiant d'un compte, plaque d'immatriculation, carte sim, fichiers word/excel/pdf... contenant des noms, photos d'une personne, évaluations scolaires, contenu d'un compte sur un réseau, boîte e-mail, etc.

Lorsqu'il s'agit de données non personnelles (la personne n'est pas reconnaissable directement ou par recoupement d'informations), la CPDT-JUNE n'est pas applicable (par exemple, une statistique scolaire, un rapport sur l'observation de la faune, des relevés météorologiques, etc.)

Toutefois, la puissance des recoupements d'informations des clouds étant toujours plus forte, les informations anonymisées relatives à des personnes se muent toujours plus en données personnelles à l'insu de l'utilisateur du cloud.

Les données cryptées pourraient constituer des données non personnelles, pour autant qu'elles restent indéchiffrables pour les tiers.

Selon le Tribunal administratif fédéral, dans un arrêt du 10 avril 2012 (A-4467/2011), il a rappelé que :

Par données personnelles (ou "données" au sens de la loi sur la protection des données), on entend toutes les informations qui se rapportent à une personne identifiée ou identifiable (^{art. 3, let. a, LPD}). Sont considérées comme des données toutes les informations qui visent à transmettre ou à conserver des connaissances, indépendamment du fait qu'il s'agisse d'une constatation de fait ou d'un jugement de valeur. Peu importe également qu'une déclaration se présente sous la forme d'un signe, d'un mot, d'une image, d'un son ou d'une combinaison de ceux-ci et sur quel type de support de données les informations sont enregistrées. Ce qui est déterminant pour la qualification de données personnelles, c'est que les indications puissent être attribuées à une ou plusieurs personnes. Les données dites matérielles sont donc toujours des données personnelles lorsqu'elles peuvent être mises en relation avec une personne. Une personne est en outre identifiée lorsqu'il ressort de l'information elle-même qu'il s'agit de cette personne bien précise. La manière dont le lien est établi avec la personne concernée est sans importance. Enfin, sont également considérées comme des données personnelles les informations qui permettent uniquement d'identifier une personne, car la combinaison de différentes informations permet de l'identifier sans effort disproportionné. L'effort à fournir pour déterminer une personne n'est toutefois plus justifiable si, selon l'expérience générale de la vie, il ne faut pas s'attendre à ce qu'un intéressé prenne cet effort à sa charge (^{cf. FF 1988 II 444 s. ; URS BELSER, BSK-DSG, op. cit., art. 3 ch. 5 s.}). La question de savoir si une information peut être mise en relation avec une personne sur la base de données supplémentaires, c'est-à-dire si l'information se rapporte à une personne identifiable (^{art. 3, let. a LPD}), s'apprécie du point de vue du détenteur de l'information. Dans le cas de la transmission d'informations, il suffit que le destinataire soit en mesure d'identifier la personne concernée (^{arrêt du Tribunal fédéral 1C_285/2009 du 8 septembre 2010 consid. 3.4 avec références}) (^{consid. 5.1}).