Mais qu'est-ce que c'est, une donnée personnelle ?

« Nous, on fait du B2B, on ne traite pas de données personnelles. » Cette phrase revient régulièrement dans la bouche de fondateurs de startups, souvent de bonne foi. L'intuition paraît logique : un fichier de prospects professionnels, un annuaire interne ou des courriels de travail relèvent de la sphère de l'entreprise, pas de la vie privée. Le droit dit pourtant l'inverse. Comprendre ce qu'est réellement une donnée personnelle conditionne toute la conformité RGPD d'une entreprise, de son registre de traitements à ses contrats SaaS.

L'essentiel en 30 secondes. Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. Le caractère professionnel d'une information ne la fait pas sortir du RGPD : un courriel nominatif, une fiche de paie ou des logs de connexion restent des données personnelles. Seules les informations portant uniquement sur une personne morale ou réellement anonymisées y échappent. Le critère décisif n'est pas le contexte, mais l'identifiabilité de la personne.

Une définition volontairement large

L'article 4 du RGPD définit la donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable. Chaque mot compte. « Toute information » couvre aussi bien un nom qu'une adresse IP, un identifiant de cookie, une photo, une géolocalisation ou une signature manuscrite. « Identifiable » signifie que la personne n'a pas besoin d'être nommée : il suffit qu'elle puisse être reconnue par recoupement de plusieurs éléments, comme sa fonction, son service et son lieu de travail.

La Cour de justice de l'Union européenne applique cette définition avec constance et ampleur. Elle a jugé que les réponses d'un candidat à un examen professionnel, et même les annotations du correcteur, constituent des données personnelles du candidat (CJUE, 20 décembre 2017, Nowak, C-434/16). La donnée n'a donc pas besoin d'être intime, sensible ou confidentielle : elle doit simplement se rapporter à quelqu'un.

Le contexte professionnel ne change rien

C'est ici que l'idée reçue s'effondre. La jurisprudence européenne l'affirme sans détour : il n'existe aucune raison de principe d'exclure les activités professionnelles du champ de la protection des données (CJUE, 16 juillet 2015, ClientEarth, C-615/13). Une donnée ne cesse pas d'être personnelle parce qu'elle est professionnelle.

Concrètement, sont des données personnelles : le nom et la fonction d'un salarié ou d'un dirigeant, une adresse e-mail professionnelle nominative (prenom.nom@entreprise.fr), les données RH comme la paie, les évaluations ou les affectations, mais aussi les données techniques de traçabilité telles que les logs de connexion, le badgeage ou la géolocalisation d'un véhicule de service. La Cour de cassation a encore rappelé en 2025 que les courriels professionnels d'un salarié relèvent de cette qualification (Cass. soc., 18 juin 2025, n° 23-19.022).

Pour une startup B2B, la conséquence est directe : le CRM rempli de contacts « professionnels », l'outil de prospection LinkedIn, l'annuaire des interlocuteurs chez les clients, tout cela constitue des traitements de données personnelles soumis au RGPD.

Le critère décisif : l'identifiabilité

Si le contexte ne compte pas, qu'est-ce qui compte ? Une seule question : cette information permet-elle, directement ou indirectement, d'identifier une personne physique ? L'appréciation est concrète. On examine les moyens raisonnablement susceptibles d'être mis en œuvre pour identifier la personne, par le responsable du traitement ou par un tiers.

L'arrêt Breyer en offre l'illustration classique : une adresse IP dynamique constitue une donnée personnelle pour l'éditeur d'un site dès lors qu'il dispose de moyens légaux d'obtenir l'identification de l'internaute auprès du fournisseur d'accès (CJUE, 19 octobre 2016, Breyer, C-582/14). L'identification peut donc être indirecte, différée, et reposer sur des informations détenues par plusieurs acteurs. Le fait qu'une seule entité ne détienne pas toutes les clés ne suffit pas à écarter la qualification.

Les vraies limites de la notion

Toutes les données qui circulent dans une entreprise ne sont pas pour autant des données personnelles. Deux catégories y échappent réellement.

Les informations portant uniquement sur une personne morale d'abord : le chiffre d'affaires d'une société, sa forme juridique ou son adresse de siège ne concernent personne en particulier. La frontière reste fine, car la dénomination sociale d'une entreprise individuelle contenant le nom de son fondateur, ou la fiche d'un interlocuteur identifié au sein d'une société, redeviennent des données personnelles.

Les données véritablement anonymisées ensuite, c'est-à-dire celles pour lesquelles la réidentification est devenue pratiquement impossible ou exigerait des efforts démesurés. Attention à la confusion fréquente : la pseudonymisation (remplacer un nom par un identifiant) ne suffit pas. Tant qu'une réidentification reste possible, les données demeurent personnelles et le RGPD continue de s'appliquer.

Ce que cette définition implique pour votre entreprise

Reconnaître que vos données « professionnelles » sont des données personnelles n'est pas une mauvaise nouvelle, c'est le point de départ d'une conformité solide. Une cartographie honnête de vos traitements (CRM, RH, logs, outils de prospection) alimente un registre fiable, des mentions d'information justes et des contrats de sous-traitance cohérents. Ce socle se valorise ensuite : les grands comptes auditent la conformité RGPD de leurs prestataires SaaS avant de signer, et les investisseurs l'examinent en due diligence. Une qualification rigoureuse de vos données est souvent la première ligne de cette démonstration.

Vous vous interrogez sur la qualification de vos données ou sur la mise en conformité de vos traitements ? Le cabinet accompagne les startups et PME pour transformer cette exigence en avantage concurrentiel. Prendre rendez-vous.