Aide-mémoire sur les données personnelles

🌘 C'est quoi, pour de vrai, un renseignement personnel ?

La loi 25 considère que définir ce qu'est un renseignement personnel, c'est un jeu de devinette ! Le RGPD ne donne qu'une dizaine d'exemples.

J'ai fait mieux que ça, et je te le partage ici.

On vient nous parler de « Données qui permettent une identification directe ou indirecte » : une belle définition qui peut confondre autant les juristes que les experts en données. Pratique pour les interprétations devant les tribunaux, mais dans notre quotidien, ce n'est pas terrible pour prendre de bonnes décisions avec les données de notre clientèle.

Ajoute à ça la pseudonymisation et l'anonymisation, deux concepts autant difficile à définir au niveau juridique que technique, pour compliquer le tout. Il n'y a pas de doute que tu n'as aucune idée de quoi on parle ici !

C'est pour ça que j'ai pris des heures pour rechercher et publier cette liste de plus de 100 types de données que tu pourrais retrouver dans ton entreprise et qui peuvent constituer des renseignements personnels au sens de la loi 25 et du RGPD.

🌘 Identification directe et indirecte

Les renseignements personnels, parfois appelés données personnelles, sont des informations concernant une personne qui permettent de l'identifier directement ou indirectement. Elles nécessitent toujours le consentement de celle-ci avant d'être partagées.

L'identification directe correspond à ces caractéristiques uniques d'une personne, alors que l'identification indirecte est basée sur une incidence statistique.

Par exemple, si dans ton entreprise, il n'y a qu'une seule femme au département d'informatique, si on parle de la “femme aux TI”, on sait de qui on parle. Par contre, s'il y en a deux, on ne sait plus de qui on parle, il faut un deuxième renseignement personnel pour l'identifier indirectement.

L'identification indirecte se fait par accumulation de renseignements personnels. C'est pourquoi il faut protéger tous les renseignements personnels, même s'ils sont insuffisants pour identifier quelqu'un pris séparément.

🌘 Attention au contexte

À faire aussi attention, la notion de confidentialité est contextuelle et dépend aussi de la portée du consentement de la personne qui a généré le renseignement. C'est pourquoi on ne peut pas définir ce qu'est un renseignement confidentiel de manière générale. Un renseignement personnel peut être confidentiel ou non, selon la situation.

🌘 Les formats de renseignements personnels

Un renseignement personnel peut aussi se trouver sous différents formats : bases de données, formulaires, conversations, enregistrements audio ou vidéo, imprimés, photos…

🌘 La liste

Je te présente une liste non exhaustive (et sans aucune valeur légale) de renseignements personnels organisés par catégories. Je veux t'aider à les identifier dans tes bases de données et préparer un plan d'action pour bien les protéger, en conformité avec les lois en vigueur (par exemple, la loi 25 au Québec et le RGPD en Union européenne et au Royaume-Uni).

🌘 Croyances et opinions

• Courant ou mouvement intellectuel
• Idéologie
• Morale ou éthique
• Philosophie
• Politique
• Religion
• Spiritualité et ésotérisme

🌘 Appartenance

• Association
• Groupe religieux
• Groupes et relations sur les réseaux sociaux
• Parti politique
• Syndicat
• Fraternité ou sororité
• Think Tank ou groupes d'intérêt

🌘 Données conversationnelles

• Appels téléphoniques
• Appels en vidéoconférence
• Messagerie
• Courriels
• Correspondance postale

🌘 Finances personnelles

• Commerce en ligne (Kijiji, Marketplace, Craigslist, Etsy ...)
• Bilan financier : actif et passif
• Utilisation de cryptomonnaies et transactions sur une chaîne de blocs
• Cote de crédit
• Informations fiscales
• Ouverture d'une ligne de crédit
• Participation au crime organisé, à un système pyramidal, de collusion ou un racket de protection (mafia)
• Refus bancaire
• Transactions financières : revenus et dépenses
• Achat d'actions et d'autres titres financiers
• Investissement privé et immobilier
• Relevés bancaires et de crédit

🌘 Statut civique et judiciaire

• Amendes
• Citoyenneté
• Dossier criminel
• Informateur ou témoin
• Infractions
• Procédures judiciaires en cours
• Poursuites au civil et réglements hors-cour
• Présence sur un jury
• Protection policière
• Statut d'immigration ou de réfugié
• Victime d'acte criminel

🌘 Identifiants uniques et électroniques

• Adresse IP
• Adresse courriel
• Filigranes et marqueurs invisibles
• IMEI/IMSI (numéro d'identification sur le réseau cellulaire)
• MAC Address (Wifi, Bluetooth)
• Nom d'utilisateur
• Nom de domaine Internet
• Numéro d'assurance santé (Carte Soleil au Québec)
• Numéro d'assurance social
• Numéro de carte bancaire ou de crédit
• Numéro de membre d'un programme de fidélité
• Numéro de permis de conduire
• Numéro de série de ta voiture
• Plaque d'immatriculation
• Tout autre identifiant délivré par un gouvernement, une entreprise privée ou une association

🌘 Information sur un domicile

• Niveau d'assurances
• Photos de l'intérieur
• Plan de maison
• Rénovations
• Systèmes de domotique

🌘 Localisation

• Adresse postale
• Capteur de proximité (AirTag, Bluetooth)
• Coordonnées géospatiales (Système GPS)
• Habitudes de déplacement
• Photos de voyage
• Caméras de surveillance
• Titres de transport, passeport, visa, factures
• Trajets
• Triangulation par signal radio ou cellulaire
• Utilisation d'une case postale

🌘 Données de santé

• Accidents
• Allergies
• Capteurs de santé grand public tels que les montres intelligentes
• Capteurs médicaux tels que ceux pour la glycémie
• Condition physique
• Cycle menstruel, grossesse
• Diagnostics médicaux
• Historique médical, y compris familial
• Prise de médicaments
• Rendez-vous médicaux et hospitalisation (lieu, date, heure, professionnel rencontré)
• Santé mentale et résultats de tests psychométriques
• Situations de handicap
• Statut de vaccination
• Taille et poids
• Utilisation de médecine alternative

🌘 Données biométriques et génétiques

• Cicatrices
• Empreintes digitales
• Expressions faciales
• Marques corporelles
• Photos et vidéos
• Séquence ADN
• Tatouages, perçages et implants
• Traits du visage

🌘 Données comportementales

• Difficultés de lecture, d'écriture et d'élocution
• Doigté au clavier
• Historique de navigation
• Mouvements corporels et langage non verbal
• Neurodivergence (autisme, TDAH) diagnostiqué ou non
• Signature écrite (sur papier ou une tablette électronique)
• Tics nerveux
• Voix (empreinte vocale)
• Lexique et niveau de langage

🌘 Origine ethnique et culturelle

• Appartenance à un peuple autochtone ou colonisateur
• Appartenance à une tribu, un clan, une caste
• Ethnicité
• Structure familiale et généalogie

🌘 État civil

• Adoption et tutelle légale
• Anciens noms et prénoms
• Date de naissance
• Identité de genre
• Noms et prénoms
• Statut marital

🌘 Identité sexuelle et de genre, orientation sexuelle et intimité

• Conversations (sexting)
• Fétichisme et style de vie intime
• Identification à un groupe LGBTQ+
• Identité sexuelle et de genre
• Organes génitaux et chirurgies d'affirmation de genre
• Polygamie et polyamour
• Préférences sexuelles
• Relations extraconjugales
• Transidentité
• Travail du sexe
• Utilisation de pronoms

🌘 Identité informelle

• Avatars
• Pseudonymes
  • agent·e secret/d'infiltration
  • de travail du sexe
  • nom d'artiste
  • noms d'utilisateur sur le web
• Surnoms

🌘 Enfants

• Date de naissance, âge
• Déplacements (garderie, école, loisirs)
• Nom et prénom, surnoms
• Nombre d'enfants
• Photos et vidéos
• Préférences (jeux, aliments…)