Les meilleurs livres pour comprendre et protéger ses données personnelles

Ce que sont les données personnelles

Avant de protéger des données, il faut savoir lesquelles sont concernées. Le Règlement général sur la protection des données (RGPD), applicable dans toute l'Union européenne depuis le 25 mai 2018, définit une donnée à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement — par un nom, un identifiant, des données de localisation, un identifiant en ligne, ou un ou plusieurs éléments propres à son identité physique, physiologique, génétique, économique, culturelle ou sociale.

Certaines catégories reçoivent une protection renforcée : les données dites sensibles au sens de l'article 9 — origine prétendue raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données de santé, données concernant la vie ou l'orientation sexuelles, données génétiques et biométriques. Leur traitement est en principe interdit, sauf exceptions strictement encadrées.

Trois principes structurent la matière. Toute personne a droit à la protection des données la concernant. Ces données doivent être traitées de manière loyale et licite, pour des finalités déterminées, sur la base du consentement de la personne concernée ou d'un autre fondement légitime prévu par la loi ; la personne peut accéder aux données collectées et en obtenir la rectification ou l'effacement. Enfin, le respect de ces règles est soumis au contrôle d'une autorité indépendante — en France, la Commission nationale de l'informatique et des libertés (CNIL).

Ces principes se déclinent en obligations concrètes pour les organismes et en droits concrets pour les individus. Notre guide comprendre le RGPD reprend point par point ce socle juridique : bases légales, durées de conservation, information des personnes, rôle du responsable de traitement et du sous-traitant.

Sur le plan technique, protéger une donnée peut consister à la rendre inintelligible ou à dissocier l'information de l'identité. Les procédés — chiffrement, pseudonymisation, anonymisation — n'offrent pas les mêmes garanties et n'ont pas le même statut juridique, ce que détaille le guide chiffrement, pseudonymisation et anonymisation.

Comprendre ces notions n'est pas réservé aux juristes. Un particulier qui sait reconnaître une donnée sensible protège mieux ses comptes ; une petite structure qui sait quelles données elle détient évite les amendes — jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial — et, surtout, la perte de confiance qui suit un incident rendu public.

Protéger ses données personnelles, en pratique

Savoir ce qui relève des données personnelles est la base ; encore faut-il traduire cette connaissance en gestes. Voici les repères essentiels, valables pour un particulier comme pour une organisation.

Le RGPD impose que chaque traitement ait une finalité déterminée et légitime, ne collecte que les données nécessaires à cette finalité — c'est le principe de minimisation —, les conserve pour une durée limitée, et soit protégé par des mesures de sécurité proportionnées au risque. Une donnée collectée « au cas où », conservée indéfiniment ou accessible à l'ensemble d'une organisation est une donnée mal traitée, indépendamment de toute intention malveillante.

Les personnes disposent de droits qu'un organisme doit pouvoir honorer : accéder à leurs données, les faire rectifier, les faire effacer lorsque c'est possible, s'opposer à certains traitements, récupérer leurs données dans un format réutilisable. Une demande doit en principe recevoir une réponse dans un délai d'un mois.

Côté technique, trois notions reviennent constamment. Le chiffrement rend les données inintelligibles sans la clé ; correctement mis en œuvre, il protège une donnée même si le support est perdu ou volé. La pseudonymisation remplace les identifiants directs par des références, mais la donnée reste une donnée personnelle, car la réidentification demeure possible. L'anonymisation vise à rendre la réidentification impossible : si elle est réellement atteinte, la donnée sort du champ du RGPD — mais une anonymisation robuste est difficile, et beaucoup de jeux de données présentés comme « anonymisés » ne le sont qu'en apparence. Ces distinctions sont développées dans le guide chiffrement, pseudonymisation et anonymisation.

Le lieu de stockage compte aussi. Le RGPD encadre strictement les transferts de données hors de l'Union européenne. Depuis l'invalidation du Privacy Shield par la Cour de justice de l'Union européenne en 2020 (arrêt Schrems II), un transfert vers un pays tiers repose sur une décision d'adéquation de la Commission européenne — un cadre spécifique couvre depuis 2023 les entreprises établies aux États-Unis qui y adhèrent — ou sur des clauses contractuelles types accompagnées d'une analyse d'impact du transfert. Un hébergement dans l'Union simplifie considérablement cette question.

Enfin, la plupart des incidents ne viennent pas d'une attaque sophistiquée mais d'un geste courant : un courriel d'hameçonnage ouvert, un mot de passe réutilisé, une sauvegarde absente le jour d'une attaque par rançongiciel. Les mesures qui réduisent le plus le risque sont accessibles à tous et font l'objet de nos guides sauvegarde et récupération et réduire son exposition à la cybercriminalité.

La lecture ne remplace pas l'action, mais elle en fixe le cap. Les ouvrages sélectionnés et les guides de ce site visent le même objectif : passer d'une inquiétude diffuse à des décisions concrètes et informées.