Les données personnelles correspondent à toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres (article 2 de la loi informatique et liberté). Elles sont protégées par divers instruments juridiques concernant le droit à la vie privée, dont notamment la loi Informatique, fichiers et libertés de 1978, la directive 95/46/CE au niveau communautaire ainsi que la Convention n°108 pour la protection des données personnelles du Conseil de l’Europe. À l’instar de la CNIL française, beaucoup de pays disposent aujourd’hui d’autorités chargées de la protection des données personnelles, qui sont souvent des autorités administratives indépendantes (ou des équivalents de celles-ci). Les données personnelles qui permettent l’identification (ou nominatives) correspondent aux noms, prénoms, adresses (physique et électronique), numéro de téléphone, lieu et date de naissance, numéro de sécurité sociale, numéro de carte de paiement, plaque d’immatriculation d’un véhicule, photo, empreinte digitale, ADN, etc. Aujourd’hui, en effet, une recherche à l’aide d’un moteur de recherche sur une ou plusieurs bases de données, en utilisant la combinaison de quelques-unes simplement de ces données, permet d’identifier et de retrouver avec précision n’importe quel individu. Certaines de ces données, dont en particulier le numéro de sécurité sociale ou le NIR, ainsi que les données biométriques (empreinte digitale, échantillon ADN, etc.), sont particulièrement sensibles, car elles fonctionnent en tant qu’« identifiants universels », qui permet de raccorder différents fichiers entre eux et ainsi d’opérer leur interconnexion. Selon une déclaration du Conseil des ministres du Conseil de l’Europe de 1997, les données personnelles incluent les données médicales et génétiques, ainsi que les empreintes digitales et, en général, toute caractéristique biométrique. Plusieurs éléments essentiels sont pris en compte concernant le traitement de ces données, dont leur durée de conservation, la finalité du traitement concerné, le consentement de la personne vis-à-vis de ce traitement, l’obligation d’information et, dans le cadre de l’entreprise, la consultation des instances représentatives, le niveau de protection technique dont elles bénéficient (ou non), etc.
