Ce que contient vraiment le fichier de fidélité

Aux Arcades, le centre commercial qui sert de fil rouge à cette série, la direction a lancé une carte de fidélité il y a trois ans. Quarante mille porteurs, une application mobile, un prestataire qui gère les points et les coupons.

Demande au directeur ce que le fichier contient, il répondra « des noms et des emails ». Ouvre le fichier, et tu y trouves aussi la date de naissance, le numéro de carte, l'heure et le magasin de chaque passage en caisse, l'adresse IP des connexions à l'application, l'identifiant du cookie déposé sur le navigateur, et une colonne de commentaires libres où le service client a noté des choses sur certains porteurs.

Le décor de ce lot de billets reste la même galerie, mais la focale change. On quitte les murs et les caméras pour regarder ce qui circule dedans : des fichiers, et les prestataires qui les manipulent.

Le RGPD est un texte où chaque mot porte une définition juridique, et où le vocabulaire décide de l'applicabilité. Si une information n'est pas « personnelle », le règlement ne s'applique pas du tout. Si elle est seulement pseudonymisée, il s'applique entièrement.

Ce lot de sept billets ouvre donc par le vocabulaire, parce qu'une bonne moitié des erreurs de conformité vient d'un mot mal compris. Le billet sur la conformité a déjà situé le RGPD comme obligation légale, à côté d'ISO 27001, de SOC 2 et de NIS2. Ici on ouvre le texte.

Un cadrage, une fois pour toutes, valable pour le lot entier : ces billets expliquent un règlement et rapportent des décisions publiées. Ils ne disent à personne ce qu'il convient de faire dans sa situation, et ne remplacent pas l'analyse d'un juriste.

Vue d'ensemble : quatre mots à poser, deux qui piègent

Le texte du RGPD ouvre par un article 4 qui définit vingt-six termes. Quatre suffisent à savoir si le règlement te concerne, et deux autres provoquent à eux seuls la majorité des contresens.

Article 4(1)
Donnée à caractère personnel
Toute information se rapportant à une personne physique identifiée ou identifiable. C'est la porte d'entrée du règlement.
Article 4(2)
Traitement
Toute opération appliquée à ces données. Collecter, consulter, conserver, transmettre, effacer : tout y passe.
Article 4(1)
Personne concernée
La personne physique à qui les données se rapportent. Aux Arcades, le porteur de la carte.
Article 9
Catégories particulières
Santé, opinions, convictions, biométrie d'identification. Interdites par principe, sauf exception listée.
Considérant 26
Anonymisation
Irréversible. La donnée cesse d'être personnelle et sort du champ du règlement. Rare, et difficile.
Article 4(5)
Pseudonymisation
Réversible. Mesure de sécurité valorisée par le texte, mais la donnée reste personnelle et le RGPD reste applicable.

Les quatre premiers décident si tu es dans le champ. Les deux derniers décident si tu peux en sortir, et c'est là que beaucoup de projets se trompent en toute bonne foi.

Quatre mots pour entrer dans le champ du règlement, deux pour croire à tort qu'on en sort.

La donnée à caractère personnel : article 4(1)

Le directeur des Arcades est convaincu que son fichier contient « des coordonnées ». En réalité il contient tout ce qui se rapporte, de près ou de loin, à des personnes physiques.

L'article 4(1) définit la donnée à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable. Une personne identifiable est celle qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant comme un nom, un numéro d'identification, des données de localisation ou un identifiant en ligne.

Trois points se perdent régulièrement en route.

« Toute information » est vraiment très large. Ce n'est pas limité à l'état civil. Une appréciation subjective, une note interne, un horodatage, un enregistrement de journal applicatif : dès que ça se rapporte à une personne identifiable, c'est une donnée personnelle. La ligne « client difficile, réclame souvent » dans le champ commentaire du CRM en est une.

L'identifiant peut être indirect. Personne n'a besoin d'un nom pour identifier quelqu'un. Un numéro de carte, un identifiant de terminal, une combinaison de code postal, de date de naissance et de sexe suffisent souvent à désigner une personne et une seule.

« Identifiable » s'apprécie relativement. Le considérant 26 précise qu'il faut tenir compte de l'ensemble des moyens raisonnablement susceptibles d'être utilisés, par le responsable du traitement ou par toute autre personne, en pesant le coût, le temps nécessaire, les technologies disponibles et leur évolution. Le critère n'est donc ni absolu ni figé dans le temps.

Le considérant 30 cite explicitement les identifiants en ligne, adresses IP et cookies compris, parmi les éléments susceptibles de rendre une personne identifiable. La Cour de justice de l'Union européenne l'a confirmé pour une adresse IP dynamique dans l'arrêt Breyer, affaire C-582/14 du 19 octobre 2016 : elle constitue une donnée personnelle pour l'éditeur d'un site, dès lors que celui-ci dispose de moyens légaux de la rapprocher, via le fournisseur d'accès, de l'abonné concerné.

Exemple aux Arcades Donnée personnelle ? Pourquoi
Nom et prénom d'un porteur de carte Oui Identifiant direct, article 4(1)
Adresse IP de connexion à l'application Oui, en principe Identifiant en ligne, considérant 30 et arrêt Breyer C-582/14
Identifiant du cookie déposé sur le navigateur Oui Il individualise un terminal, et à travers lui son utilisateur
Commentaire « client difficile » saisi par le service client Oui « Toute information », y compris une appréciation subjective
contact@lesarcades.fr Non, en principe Coordonnée d'une personne morale, considérant 14
julie.moreau@lesarcades.fr Oui Désigne une personne physique précise
« 12 480 visiteurs le samedi 14 mars » Non Agrégat qui ne se rapporte à aucune personne identifiable
Le dossier d'un porteur décédé Non au sens du RGPD Considérant 27 ; le droit national peut prévoir des règles, ce que la France a fait dans la loi Informatique et Libertés

Attention à la dernière ligne : le règlement ne s'applique pas aux données des personnes décédées, mais le fichier d'un défunt contient presque toujours des données de vivants, à commencer par celles de ses proches.

« Identifiable » ne veut pas dire « identifié ». Il suffit qu'un rapprochement raisonnable soit possible, aujourd'hui, par toi ou par quelqu'un d'autre.

Le traitement : le mot le plus large du règlement

Le prestataire de la carte de fidélité assure à la direction des Arcades qu'il « ne fait que stocker » le fichier, et qu'il n'y touche pas. Le mot « stocker » figure noir sur blanc dans la liste de l'article 4(2).

Cet article définit le traitement comme toute opération ou tout ensemble d'opérations, effectuées ou non à l'aide de procédés automatisés, appliquées à des données personnelles. Suit une énumération qui ne laisse presque rien dehors : la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation, l'extraction, la consultation, l'utilisation, la communication par transmission, le rapprochement, la limitation, l'effacement, la destruction.

Trois conséquences très pratiques en découlent.

Consulter est un traitement. Un administrateur qui ouvre une fiche client, la lit et la referme sans rien modifier vient d'effectuer un traitement. C'est ce qui justifie de journaliser les accès en lecture, pas seulement les écritures.

Il n'existe pas de « simple stockage » hors périmètre. Une sauvegarde oubliée dans un bucket, un dump de base sur un poste de développeur, une vieille table conservée « au cas où » : chacun est un traitement en cours, avec une finalité à justifier et une durée de conservation à tenir.

Anonymiser est soi-même un traitement. L'opération porte sur des données personnelles au moment où on l'exécute. On ne peut donc pas s'en servir comme d'une porte de sortie rétroactive.

Le champ matériel est posé à l'article 2(1) : le règlement couvre le traitement automatisé, en tout ou partie, et le traitement non automatisé de données contenues dans un fichier ou appelées à y figurer. Un classeur papier organisé par ordre alphabétique dans le bureau du directeur des Arcades entre donc dans le champ, contrairement à un tas de notes sans structure. L'article 2(2)(c) écarte par ailleurs les activités strictement personnelles ou domestiques, ce qui exclut ton carnet d'adresses privé mais pas le fichier client d'un commerçant.

Une dernière conséquence, moins évidente et pourtant structurante : l'unité de raisonnement du RGPD n'est pas la base de données, c'est le traitement. Un même fichier de fidélité alimente la gestion des points, l'envoi de la newsletter et la mesure de fréquentation. Ce sont trois traitements distincts, avec chacun sa finalité, potentiellement sa base légale et sa durée de conservation. Le lot y revient dans les billets suivants.

Consulter, conserver, transmettre, effacer : tout est traitement. La question n'est jamais « est-ce que je traite », mais « quel traitement, pour quelle finalité ».

Les catégories particulières : article 9

Le food court des Arcades lance une newsletter. Le formulaire d'inscription propose une case « préférences alimentaires » avec les choix habituels, dont halal et casher. En quatre clics, un fichier marketing vient de collecter des indications sur les convictions religieuses de ses abonnés.

L'article 9(1) interdit par principe le traitement de certaines catégories de données : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques aux fins d'identifier une personne physique de manière unique, données concernant la santé, données concernant la vie sexuelle ou l'orientation sexuelle.

L'interdiction n'est levée que si l'une des exceptions listées à l'article 9(2) s'applique : le consentement explicite de la personne, la sauvegarde des intérêts vitaux, des données manifestement rendues publiques par la personne elle-même, la médecine du travail, un motif d'intérêt public dans le domaine de la santé publique, et quelques autres. Le droit de l'Union ou d'un État membre peut même prévoir que l'interdiction ne peut pas être levée par le consentement de la personne.

Le point le plus souvent raté tient en une conjonction. Une exception de l'article 9(2) ne remplace pas la base légale de l'article 6 : elle s'y ajoute. Il faut les deux, cumulativement.

Les condamnations pénales et les infractions relèvent d'un régime distinct, à l'article 10, et non de l'article 9. Leur traitement n'est possible que sous le contrôle de l'autorité publique, ou lorsque le droit de l'Union ou national l'autorise en prévoyant des garanties appropriées.

Enfin, une photographie n'est pas automatiquement une donnée biométrique. Le considérant 51 le dit clairement : les photographies ne relèvent de la définition des données biométriques que lorsqu'elles sont traitées selon un procédé technique spécifique permettant l'identification ou l'authentification unique d'une personne. La différence n'est pas dans l'image, elle est dans ce qu'on en fait.

Donnée collectée aux Arcades Ce qu'elle révèle Régime
Préférence alimentaire « halal » ou « casher » sur un formulaire Convictions religieuses Article 9
Place de parking réservée attribuée nominativement à un client État de santé Article 9
Retenue sur salaire au titre d'une cotisation syndicale Appartenance syndicale Article 9
Empreinte digitale utilisée pour ouvrir le local technique Identification unique par une caractéristique physique Article 9, donnée biométrique
Photo du badge d'un salarié, simplement affichée dans l'annuaire Une image, rien de plus Hors article 9, considérant 51
La même photo injectée dans un moteur de reconnaissance faciale Identification unique par le visage Article 9, donnée biométrique
Mention d'une interdiction de paraître dans le centre Infraction ou condamnation Article 10, régime distinct
Ce qui range une donnée sous l'article 9, c'est l'information qu'elle révèle une fois collectée, quel que soit l'intitulé de la case du formulaire.

Anonymiser ou pseudonymiser, le contresens le plus coûteux

Deux affichages coexistent aux Arcades. En vitrine, un panneau annonce la fréquentation du mois : rien là-dedans ne se rapporte à quiconque. Dans l'arrière-boutique, le fichier de fidélité a vu les noms remplacés par des numéros, et la table qui fait la correspondance entre numéro et identité dort dans le coffre du bureau de direction.

Les deux opérations se ressemblent de loin. Juridiquement, elles sont opposées.

La pseudonymisation est définie à l'article 4(5) : traiter les données de telle façon qu'elles ne puissent plus être attribuées à une personne précise sans recourir à des informations supplémentaires, celles-ci étant conservées séparément et protégées. Le règlement la valorise comme mesure de sécurité, à l'article 32(1)(a), et l'encourage à l'article 25 sur la protection des données dès la conception ainsi qu'à l'article 89(1) pour la recherche et l'archivage.

Ce qu'elle ne fait pas, c'est faire sortir du champ. Le considérant 26 est explicite : des données pseudonymisées qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires restent des informations concernant une personne identifiable.

L'anonymisation, elle, n'est définie dans aucun article. Elle se déduit du même considérant 26, qui écarte du champ du règlement les informations anonymes et les données rendues anonymes de telle manière que la personne ne soit pas ou plus identifiable. Le test est celui déjà rencontré : l'ensemble des moyens raisonnablement susceptibles d'être utilisés, par n'importe qui, compte tenu du coût, du temps, des technologies disponibles et de leur évolution.

Pseudonymisation Anonymisation
Fondement Article 4(5), définition explicite Considérant 26, par exclusion
Réversible Oui, via les informations supplémentaires Non, par construction
Statut de la donnée Reste une donnée personnelle Cesse d'être une donnée personnelle
RGPD applicable Oui, entièrement Non
Rôle dans le texte Mesure de sécurité valorisée, article 32(1)(a) Sortie du champ d'application
Ce qui reste possible Analyse fine, ré-identification maîtrisée, exercice des droits Statistiques agrégées seulement
Erreur classique La croire suffisante pour publier ou partager La déclarer sans avoir testé les trois critères

L'avis 05/2014 du groupe de travail « Article 29 » sur les techniques d'anonymisation (WP216, adopté le 10 avril 2014) donne le test le plus utilisé pour trancher. Trois risques doivent être écartés, tous les trois.

Critère La question posée Exemple d'échec
Individualisation Peut-on isoler l'enregistrement d'une seule personne dans le jeu ? Un identifiant unique par client individualise, même sans nom
Corrélation Peut-on relier deux enregistrements de la même personne, dans ce jeu ou dans un autre ? Le même identifiant réutilisé dans deux exports permet de les recoller
Inférence Peut-on déduire la valeur d'un attribut à partir des autres ? Un seul homme de 61 ans dans un code postal : sa ligne est déductible

Concrètement, la différence se voit dans la requête.

-- Pseudonymisé : le nom a disparu, la personne reste identifiable
-- via la table de correspondance conservée à part.
SELECT client_ref, magasin, montant, achete_le
FROM achats_fidelite;
-- client_ref | magasin      | montant | achete_le
-- 8f3c1a...  | Boutique B12 |   42.90 | 2026-03-14

-- Agrégé : plus aucune ligne ne se rapporte à un individu,
-- et les groupes trop petits sont écartés.
SELECT magasin,
       date_trunc('month', achete_le) AS mois,
       count(*) AS achats,
       round(avg(montant), 2) AS panier_moyen
FROM achats_fidelite
GROUP BY 1, 2
HAVING count(DISTINCT client_ref) >= 50;

La seconde requête va dans le bon sens, mais elle ne prouve rien à elle seule. Une agrégation n'est pas une anonymisation tant qu'on n'a pas vérifié qu'aucun croisement entre plusieurs agrégats successifs ne reconstitue une ligne individuelle. C'est un travail d'analyse, pas une case à cocher dans un ETL.

flowchart TD info["Une information
que je veux traiter"] q1{"Se rapporte-t-elle à une
personne physique vivante ?"} q2{"La personne est-elle identifiable
par des moyens raisonnablement
susceptibles d'être utilisés ?"} q3{"L'identification passe-t-elle par
une correspondance conservée à part ?"} q4{"Origine, santé, convictions,
biométrie d'identification ?"} hors["Hors du champ
du RGPD"] anon["Donnée anonyme
considérant 26
hors du champ"] pseudo["Donnée pseudonymisée
art. 4(5)
RGPD applicable"] clair["Donnée personnelle en clair
RGPD applicable"] ordinaire["Base légale
de l'article 6"] sensible["Base de l'article 6
ET exception de l'article 9(2)"] info --> q1 q1 -- non --> hors q1 -- oui --> q2 q2 -- non --> anon q2 -- oui --> q3 q3 -- oui --> pseudo q3 -- non --> clair pseudo --> q4 clair --> q4 q4 -- non --> ordinaire q4 -- oui --> sensible classDef depart fill:#ede9e1,stroke:#b5651d,color:#1a1a1a classDef question fill:#f5f2ec,stroke:#8a4d16,color:#1a1a1a classDef sortie fill:#d89253,stroke:#5f5e5a,color:#1a1a1a classDef dans fill:#b5651d,stroke:#5f5e5a,color:#f5f2ec classDef alerte fill:#a0413e,stroke:#5f5e5a,color:#f5f2ec class info depart class q1,q2,q3,q4 question class hors,anon sortie class pseudo,clair,ordinaire dans class sensible alerte
La pseudonymisation protège les données ; l'anonymisation les fait sortir du droit. Confondre les deux revient à publier un fichier personnel en croyant publier des statistiques.

Netflix Prize : la ré-identification par les marges

Le cas qui illustre le mieux ces trois critères n'est pas une sanction d'autorité, c'est une expérience de recherche menée sur un jeu de données publié en toute bonne foi.

En octobre 2006, Netflix lance le Netflix Prize, un concours doté d'un prix d'un million de dollars pour quiconque améliorerait significativement son algorithme de recommandation. Pour permettre aux équipes de travailler, l'entreprise publie un vaste jeu de données : de l'ordre d'une centaine de millions de notes attribuées à des films par plusieurs centaines de milliers d'abonnés, chaque note accompagnée de sa date. Les noms et les identifiants d'abonnés ont été retirés et remplacés par des numéros.

En 2008, Arvind Narayanan et Vitaly Shmatikov publient au symposium IEEE Security and Privacy un article intitulé Robust De-anonymization of Large Sparse Datasets. Une première version avait été déposée sur arXiv dès octobre 2006, sous le titre How To Break Anonymity of the Netflix Prize Dataset. Leur démonstration porte sur ce jeu précis.

Leur méthode tient en une idée. Les profils de goûts sont creux et très dissemblables : la plupart des abonnés ont noté une poignée de films parmi des dizaines de milliers, et cette combinaison précise, avec ses dates, ressemble à une signature. Il suffit alors de disposer, ailleurs, de quelques notes attribuées par une personne identifiée. Les auteurs sont allés les chercher sur IMDb, où des utilisateurs publient des avis sous un pseudonyme public parfois rattachable à une identité réelle. En croisant les deux sources, ils parviennent à rapprocher des enregistrements du jeu Netflix de personnes nommées, à partir d'un très petit nombre de notes datées.

Relis ce cas avec les trois critères de l'avis WP216 : aucun des trois n'est écarté.

  • Individualisation : chaque ligne du jeu correspond à un abonné et à un seul. Retirer le nom n'y change rien.
  • Corrélation : les mêmes goûts se retrouvent sur IMDb, ce qui permet de recoller deux jeux publiés indépendamment.
  • Inférence : une fois l'abonné retrouvé, l'ensemble de son historique devient lisible, y compris ce que les auteurs décrivent comme des préférences politiques apparentes et d'autres informations potentiellement sensibles.

Le jeu était donc pseudonymisé, pas anonymisé. Netflix avait annoncé une deuxième édition du concours, à laquelle l'entreprise a renoncé en 2010, à la suite d'un recours engagé aux États-Unis et de questions de la Federal Trade Commission.

Deux précautions de lecture. Les faits se déroulent entre 2006 et 2010, bien avant le RGPD, et rien ici ne constitue une application du règlement. Mais le raisonnement du considérant 26 décrit exactement ce qui s'est passé : les moyens raisonnablement susceptibles d'être utilisés par toute autre personne incluaient un site public de critiques de films, gratuit et accessible à tous.

Retirer le nom n'anonymise rien. Ce qui identifie une personne, c'est la combinaison des valeurs que porte sa ligne, bien plus que l'étiquette collée dessus.

Points clés

  • La donnée à caractère personnel de l'article 4(1) couvre toute information se rapportant à une personne identifiée ou identifiable, directement ou indirectement. Adresses IP et identifiants de cookies en font partie, agrégats et données de personnes décédées non.
  • Le traitement de l'article 4(2) englobe la collecte, la consultation, la conservation, la transmission et l'effacement. Le « simple stockage » hors périmètre n'existe pas, et l'unité de raisonnement reste le traitement, pas la base de données.
  • Les catégories particulières de l'article 9 sont interdites par principe. Les traiter suppose une base légale de l'article 6 et une exception de l'article 9(2), cumulativement ; les condamnations relèvent à part de l'article 10.
  • Pseudonymiser (article 4(5)) est une mesure de sécurité qui laisse la donnée dans le champ du règlement. Anonymiser (considérant 26) en fait sortir, à condition d'écarter l'individualisation, la corrélation et l'inférence.
  • Le Netflix Prize montre le coût du contresens : un jeu publié sans noms, ré-identifié en croisant des avis publics de cinéma.

Dans la série

Palier 3 : Tenir la galerie. Domaine : Protection des données.

Pour aller plus loin