Un identifiant peut être personnel sans être secret
Une adresse e-mail est-elle une donnée personnelle ? Cela dépend du contexte
Une adresse e-mail peut être une donnée personnelle lorsqu'elle se rapporte à une personne identifiée ou identifiable, mais l'analyse dépend du contexte et du droit applicable.
On confond souvent « donnée personnelle » et « donnée privée ». Ce n'est pas la même chose. Une adresse e-mail peut être publiée sur un site et rester une donnée personnelle si elle identifie une personne ou peut raisonnablement être reliée à elle. À l'inverse, une adresse générique comme contact@entreprise.example ne désigne pas forcément une personne physique précise.
Le format de l'adresse change l'analyse
| Exemple | Importance probable | Pourquoi |
|---|---|---|
| prenom.nom@entreprise.example | Souvent clairement personnelle | Elle peut identifier directement un salarié et révéler son organisation |
| nompersonnel@fournisseur.example | Souvent personnelle lorsqu'elle est liée à un individu | L'adresse fonctionne comme identifiant d'une personne physique |
| ventes@entreprise.example | Moins directement liée à un individu | Elle peut représenter une fonction ou une organisation plutôt qu'une personne précise |
| adresse aléatoire reliée en interne à un utilisateur | Peut rester personnelle | Une personne peut être identifiable indirectement même si son nom n'apparaît pas dans l'adresse |
L'identifiabilité compte davantage que la lisibilité
L'ICO explique qu'une donnée personnelle est une information relative à une personne physique identifiée ou identifiable. L'identification peut être directe ou indirecte et dépend du contexte. Une adresse professionnelle contenant le nom d'une personne peut donc identifier cette personne tout en révélant son employeur.
Une adresse pseudonyme ou aléatoire n'échappe pas automatiquement à cette logique. Si une organisation peut la relier à un titulaire précis grâce aux autres données qu'elle possède, cette capacité de rapprochement peut suffire à rendre l'information personnelle dans ce contexte.
Donnée personnelle ne veut pas dire donnée secrète
Une adresse professionnelle peut être affichée publiquement et rester une donnée personnelle. La qualification porte sur le lien avec une personne identifiable, pas sur le nombre de personnes qui ont déjà vu l'information.
Et qualifier une adresse de donnée personnelle ne répond pas, à lui seul, à la question de savoir si une utilisation précise est autorisée. Finalité, transparence, conservation, marketing et sécurité sont des questions distinctes qui dépendent du droit applicable et des faits.
Une méthode plus sûre pour répondre
- Demandez si l'adresse identifie ou peut raisonnablement être reliée à une personne physique.
- Distinguez les adresses individuelles des boîtes génériques d'organisation.
- Vérifiez la juridiction au lieu de présenter le RGPD comme une règle mondiale.
- Séparez la qualification de la donnée des questions ultérieures de consentement, marketing ou base légale.
Une adresse e-mail n'a pas besoin d'être secrète pour être une donnée personnelle. La bonne analyse dépend de la personne qu'elle permet d'identifier, des données auxquelles elle peut être reliée et du régime juridique applicable.
Replacez cette menace dans son contexte
Sources et lectures complémentaires
Besoin d’une boîte séparée pour une interaction courte ?
Un e-mail temporaire peut limiter l’exposition de votre adresse durable lorsque la récupération future n’est pas importante. C’est une couche de confidentialité, pas un remplacement de la sécurité du compte.
Créer un e-mail temporaire