Donnée personnelle : les enjeux pour la PME
Une PME manipule des données personnelles partout : fiches de paie, candidatures, contacts du CRM, badges d’accès, journaux de connexion. Selon la CNIL, le caractère confidentiel ou public de l’information ne change rien : un profil professionnel visible en ligne reste une donnée personnelle dès qu’il se rattache à une personne. Toute utilisation de ces informations constitue un traitement de données soumis au RGPD.
La notion est plus large qu’on ne le croit. La CNIL précise qu’une information reste personnelle si l’on peut identifier quelqu’un en recoupant plusieurs éléments, par exemple l’âge, le sexe, la ville et le diplôme, même si aucun ne suffit seul. Retirer le nom d’un tableau ne rend donc pas les données anonymes : seule une véritable anonymisation, qui rend l’identification impossible, les fait sortir du champ.
Le sujet devient concret avec l’IA. Coller dans un assistant conversationnel le compte rendu d’un entretien annuel ou la liste des impayés revient à traiter des données personnelles. Notre réflexe en trois temps : repérer ce qui identifie une personne, se demander si l’usage en a vraiment besoin, et retirer ou remplacer ces éléments avant tout envoi. Cette fiche est une information générale, à compléter par l’avis d’un conseil.
Exemple
Une société de négoce de 60 personnes veut résumer ses réclamations clients avec un outil d’IA. Sur un échantillon de 200 réclamations, 170 contiennent un nom, une adresse e-mail ou un numéro de commande rattachable à un client. L’équipe remplace ces éléments par des codes avant l’envoi et garde la table de correspondance en interne. Le résumé obtenu reste exploitable, sans qu’aucune identité ne sorte de l’entreprise.
Questions fréquentes
Une adresse e-mail professionnelle est-elle une donnée personnelle ?
Oui, dès qu’elle se rattache à une personne, comme prenom.nom@entreprise.fr. La CNIL cite l’adresse électronique parmi les informations qui permettent d’identifier directement quelqu’un.
Une adresse IP est-elle une donnée personnelle ?
Oui. La CNIL range les identifiants en ligne, comme l’adresse IP ou l’identifiant de connexion, parmi les moyens d’identification indirecte.
Les informations publiques sur LinkedIn sont-elles des données personnelles ?
Oui. Selon la CNIL, peu importe que l’information soit confidentielle ou publique : elle reste personnelle dès qu’elle concerne une personne identifiable.
Supprimer le nom suffit-il à rendre une donnée anonyme ?
Non, si la personne peut encore être reconnue par recoupement d’autres informations. La donnée reste alors personnelle et le RGPD continue de s’appliquer.
Sources
- Une donnée à caractère personnel, c’est quoi ?, CNIL — consulté le 16 octobre 2026
Auteur
Clément Marchal a fondé le Cabinet Flourens. Depuis 2017, dont cinq ans à faire tourner des équipes, notamment dans un environnement régulé par l'AMF, il voit la même chose : l'IA entre dans l'entreprise par les salariés, pas par la direction. Personne ne sait qui l'utilise, sur quelles données, ni ce qu'elle rapporte. Avec Ardoise, le Cabinet Flourens met cet usage en ordre en six semaines : la carte des usages, des règles acceptées, deux automatisations ou agents IA sur vos outils et le dossier qui prouve ce que l'entreprise a fait.
L'histoire du cabinetMode d'Emploi, la lettre
Une méthode par semaine pour reprendre la main sur votre organisation. Désinscription en un clic.