Trois définitions des PII qui ne concordent pas

Que sont les PII ?

Trois textes distincts définissent les PII, et aucun ne couvre les mêmes identifiants. La publication spéciale NIST 800-122 rédige la définition utilisée dans toute l'administration fédérale américaine, le RGPD n'emploie jamais le terme et définit à la place "personal data" à l'article 4(1), et la Californie définit "personal information" à la section 1798.140(v) de son Civil Code. Un champ que l'une des définitions laisse dehors tombe en plein dans une autre, et c'est pourquoi la case "collectez-vous des PII ?" d'un questionnaire de sécurité fournisseur n'a aucune réponse correcte tant que personne n'a dit de quel texte il s'agit.

Que définit NIST SP 800-122 comme PII ?

NIST SP 800-122 définit les PII en deux parties, l'une sur l'identification, l'autre sur la mise en relation. La publication, Guide to Protecting the Confidentiality of Personally Identifiable Information (PII), est parue en avril 2010. Son résumé exécutif énonce que les PII sont :

any information about an individual maintained by an agency, including (1) any information that can be used to distinguish or trace an individual's identity, such as name, social security number, date and place of birth, mother's maiden name, or biometric records; and (2) any other information that is linked or linkable to an individual, such as medical, educational, financial, and employment information.

Une note de bas de page indique d'où vient la formulation : c'est "the GAO expression of an amalgam of the definitions of PII from OMB Memorandums 07-16 and 06-19", repris du rapport GAO 08-536 de mai 2008. La définition technique américaine de référence des PII est donc la paraphrase, par une cour des comptes, de deux mémorandums budgétaires, et non une loi.

La section 2.2 donne des exemples : nom, numéro d'identification personnel, coordonnées postales et adresse e-mail, numéros de téléphone, caractéristiques personnelles dont photographie et gabarits biométriques, et informations d'immatriculation de véhicule. L'entrée qui compte pour une équipe web se lit ainsi : "Asset information, such as Internet Protocol (IP) or Media Access Control (MAC) address or other host-specific persistent static identifier that consistently links to a particular person or small, well-defined group of people." Lisez bien la restriction. Un identifiant de cookie, un identifiant d'appareil et une IP dynamique tournante ne sont nommés nulle part dans la section 2.2.

Le NIST fait ensuite ce qu'aucune des deux lois ne fait : il gradue les PII. La section 3 attribue à chaque jeu de données un niveau d'impact de confidentialité faible, modéré ou élevé, à partir de six facteurs : identifiabilité, volume de PII, sensibilité des champs, contexte d'usage, obligations de protection de la confidentialité, et accès aux PII et lieu de stockage. Elle admet aussi que certaines PII n'appellent aucune protection de confidentialité, en prenant pour exemple l'annuaire téléphonique public d'un organisme. Ni le RGPD ni le CCPA n'ont d'échelle de graduation équivalente.

La ligne sur le champ d'application compte autant que la définition. Les recommandations sont "intended primarily for U.S. Federal government agencies and those who conduct business on behalf of the agencies". Une entreprise privée qui oppose NIST SP 800-122 à un auditeur emprunte un vocabulaire, elle ne cite pas une obligation.

Que couvre l'article 4(1) du RGPD à la place ?

Le RGPD couvre toute information se rapportant à une personne physique identifiable, et il n'utilise jamais l'abréviation PII. L'article 4(1) se lit ainsi :

'personal data' means any information relating to an identified or identifiable natural person ('data subject'); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person

"Online identifier" est la clause qui fait entrer l'analyse web dans le champ, et le considérant 30 dit ce qu'elle recouvre : "Natural persons may be associated with online identifiers provided by their devices, applications, tools and protocols, such as internet protocol addresses, cookie identifiers or other identifiers such as radio frequency identification tags." Aucune restriction au statique, aucune exigence de persistance.

Le considérant 26 pose le test d'identifiabilité. Il faut prendre en compte "all the means reasonably likely to be used, such as singling out, either by the controller or by another person", mis en balance avec "the costs of and the amount of time required for identification". Le même considérant confirme que les données pseudonymisées restent des données à caractère personnel, ce qui fait toute la différence entre pseudonymisation et anonymisation en pratique.

Le palier des données sensibles du RGPD, c'est l'article 9, qui interdit le traitement des données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que des données génétiques, des données biométriques aux fins d'identifier une personne de manière unique, des données de santé et des données concernant la vie sexuelle ou l'orientation sexuelle. Cette liste correspond à ce que le RGPD entend par données personnelles sensibles, et elle n'inclut ni un numéro national d'identité, ni un mot de passe, ni une localisation précise.

Que retient le CCPA comme informations personnelles ?

Le CCPA définit les informations personnelles autour d'un consommateur ou d'un foyer, ce qu'aucun autre cadre présenté ici ne fait. La section 1798.140(v)(1), dans la version en vigueur depuis le 1er janvier 2026 après modification par AB 1170, les définit comme "information that identifies, relates to, describes, is reasonably capable of being associated with, or could reasonably be linked, directly or indirectly, with a particular consumer or household".

La loi énumère ensuite douze catégories, de (A) à (L). Le sous-paragraphe (A) nomme "Internet Protocol address" sans nuance, aux côtés du nom réel, de l'alias, de l'adresse postale, de l'identifiant personnel unique, de l'identifiant en ligne, de l'adresse e-mail, du nom de compte, du numéro de sécurité sociale, du numéro de permis de conduire et du numéro de passeport. Le sous-paragraphe (F) nomme "browsing history, search history, and information regarding a consumer's interaction with an internet website application, or advertisement". Le sous-paragraphe (K) nomme les inférences "drawn from any of the information identified in this subdivision to create a profile about a consumer".

Séparément, la subdivision (aj) définit l'identifiant personnel unique comme incluant "cookies, beacons, pixel tags, mobile ad identifiers, or similar technology". La pile de tracking est nommée par catégorie de produit dans le texte même de la loi.

Deux exclusions ressortent des données du champ. La subdivision (v)(2) écarte les informations publiquement disponibles, définies comme les registres publics et les informations que le consommateur a rendues accessibles au grand public sans restreindre l'audience. La subdivision (v)(3) écarte les informations déidentifiées et agrégées. La subdivision (ae) définit ensuite un palier sensible distinct couvrant le numéro de sécurité sociale, les identifiants de connexion, la géolocalisation précise, les données génétiques et les données neuronales, la géolocalisation précise étant assortie d'un chiffre : toute donnée permettant de situer un consommateur dans "a circle with a radius of 1,850 feet".

Le CCPA ne s'applique par ailleurs qu'aux entreprises franchissant l'un des trois seuils de la subdivision (d)(1) : un chiffre d'affaires brut supérieur à $25,000,000, l'achat, la vente ou le partage des informations personnelles de 100,000 consommateurs ou foyers ou plus, ou 50 pour cent ou plus du chiffre d'affaires annuel tiré de la vente ou du partage d'informations personnelles. Le RGPD n'a aucun plancher de chiffre d'affaires. Une mise en regard plus complète des deux régimes se trouve dans la comparaison entre CCPA et RGPD.

Où les trois définitions divergent-elles ?

Elles divergent sur le sujet protégé, sur les identifiants, et sur ce qui ressort du champ. Ce tableau confronte chaque identifiant au texte qui le nomme.

Trois décalages structurels découlent de cette grille. Le sujet diffère : le NIST protège un individu, le RGPD protège une personne physique, et seul le CCPA protège un foyer comme unité, si bien que les données d'appareil ou d'adresse partagés sont réglementées en Californie et ne le sont nulle part ailleurs. Les informations publiquement disponibles restent des données personnelles sous le RGPD et cessent d'être des informations personnelles sous le CCPA. Et les paliers sensibles ne se recoupent presque pas : l'article 9 couvre les opinions politiques, que la liste du CCPA ne nomme pas, tandis que le CCPA couvre les identifiants de connexion, la géolocalisation précise et les données neuronales, dont aucun ne figure à l'article 9.

Une adresse IP est-elle une donnée PII ?

Une adresse IP est une donnée à caractère personnel au sens du RGPD lorsque la partie qui la détient dispose d'une voie légale pour identifier la personne derrière elle. La Cour de justice a tranché dans l'affaire C-582/14, Patrick Breyer contre Bundesrepublik Deutschland, du 19 octobre 2016. Le dispositif retient qu'une adresse IP dynamique enregistrée par un fournisseur de services de médias en ligne

constitutes personal data within the meaning of that provision, in relation to that provider, where the latter has the legal means which enable it to identify the data subject with additional data which the internet service provider has about that person.

Le point 43 conclut qu'"it is not required that all the information enabling the identification of the data subject must be in the hands of one person". Le point 46 pose la limite, en excluant l'identification "prohibited by law or practically impossible" parce qu'elle exigerait un temps, un coût et des effectifs disproportionnés.

Sous le CCPA, aucune analyse de ce genre n'est nécessaire, puisque l'adresse IP est listée nommément. Sous NIST SP 800-122, l'exemple vise un identifiant statique persistant, de sorte qu'une IP résidentielle tournante reste hors de l'illustration même si la moitié "linked or linkable" de la définition peut encore l'attraper. Toute la divergence tient dans un seul champ, détaillée dans une adresse IP est-elle une donnée personnelle.

Les analytics respectueux de la vie privée rapportent le trafic et les conversions sans cookies ni collecte de données personnelles, ce qui retire la question de l'identifiant de la couche de reporting au lieu d'y répondre, et le masquage en session replay est l'endroit où la même question resurgit au niveau du DOM.

Questions fréquentes

Le RGPD emploie-t-il le terme PII ?

Non. Le RGPD utilise "personal data" d'un bout à l'autre et n'emploie jamais l'abréviation PII. L'article 4(1) porte la définition, et les considérants 26 et 30 fournissent le test d'identifiabilité et les exemples d'identifiants en ligne. Traiter les deux termes comme synonymes sous-estime la portée du RGPD, car les données personnelles atteignent des inférences, des enregistrements pseudonymisés et des identifiants en ligne que la liste d'exemples du NIST ne nomme pas.

Une donnée hachée reste-t-elle une donnée PII ?

Le hachage est une pseudonymisation, pas une anonymisation, dès lors que le haché peut être rapproché d'informations supplémentaires. Le considérant 26 du RGPD énonce que les données qui "could be attributed to a natural person by the use of additional information should be considered to be information on an identifiable natural person". Le CCPA définit la pseudonymisation à la subdivision (aa) et n'exclut du champ, à la subdivision (v)(3), que les informations déidentifiées et agrégées des consommateurs : un haché réversible reste donc une information personnelle.

Le CCPA s'applique-t-il à toutes les entreprises ?

Non. La section 1798.140(d)(1) fixe trois seuils et une entreprise doit en remplir au moins un : un chiffre d'affaires brut supérieur à $25,000,000 sur l'année civile précédente, l'achat, la vente ou le partage des informations personnelles de 100,000 consommateurs ou foyers ou plus, ou 50 pour cent ou plus du chiffre d'affaires annuel tiré de la vente ou du partage d'informations personnelles.

Quelle différence entre PII et informations personnelles sensibles ?

Les informations personnelles sensibles forment un sous-ensemble nommé qui déclenche des obligations supplémentaires. Le CCPA les définit à la subdivision (ae) : numéro de sécurité sociale, identifiants de connexion, géolocalisation précise, origine raciale ou ethnique, données génétiques et données neuronales. L'équivalent du RGPD est l'article 9, construit autour de l'origine raciale ou ethnique, des opinions politiques, de la religion, de l'appartenance syndicale, de la génétique, de la biométrie à des fins d'identification, de la santé et de la vie sexuelle.

Les données analytiques agrégées sont-elles des PII ?

Pas sous le CCPA, qui exclut les informations agrégées à la subdivision (v)(3) et les définit à la subdivision (b) comme des informations "from which individual consumer identities have been removed, that is not linked or reasonably linkable to any consumer or household". Le RGPD arrive au même résultat par le considérant 26, mais seulement si aucun moyen raisonnablement susceptible d'être utilisé ne permet d'isoler à nouveau une personne.

Quelle précision faut-il pour que le CCPA qualifie une localisation de sensible ?

La subdivision (w) définit la géolocalisation précise comme une donnée servant à situer un consommateur dans "a geographic area that is equal to or less than the area of a circle with a radius of 1,850 feet". Une localisation à l'échelle de la ville déduite d'une adresse IP se situe bien au-delà de ce rayon et n'est pas une géolocalisation précise au sens de la loi.

Le NIST SP 800-122 s'applique-t-il aux entreprises privées ?

Le NIST SP 800-122 s'adresse d'abord aux agences fédérales américaines et aux prestataires qui travaillent pour leur compte, pas aux entreprises privées en général. Un fournisseur qui cite ce texte dans un questionnaire de sécurité emprunte un vocabulaire fédéral, il ne pointe pas vers une obligation qui le lie. Le texte ne crée aucune obligation, contrairement à l'article 4(1) du RGPD ou au CCPA 1798.140(v) pour les entités qu'ils couvrent.

L'historique de navigation est-il une donnée PII ?

Le CCPA nomme l'historique de navigation et de recherche directement au sous-paragraphe (v)(1)(F), il compte donc comme information personnelle sans débat. Le RGPD arrive au même résultat par la définition générale de l'article 4(1), puisque l'activité de navigation se rapporte à une personne identifiable. Les exemples de la section 2.2 du NIST SP 800-122 ne mentionnent jamais l'historique de navigation.

Le RGPD note-t-il les PII par niveau de risque comme le NIST ?

Noter par niveau de risque est une particularité du NIST que ni le RGPD ni le CCPA ne reproduisent. Le NIST SP 800-122 attribue à chaque ensemble de PII un niveau d'impact de confidentialité faible, modéré ou élevé, selon six facteurs dont l'identifiabilité et la sensibilité des champs de données. Le RGPD et le CCPA fixent leurs obligations par catégorie de donnée, via des niveaux comme l'article 9 et la subdivision (ae) du CCPA, plutôt que par une échelle chiffrée.

Les données d'un foyer comptent-elles comme des PII ?

Seulement sous le CCPA, qui protège un foyer en plus d'un consommateur particulier et définit le foyer à la subdivision (q). Le NIST SP 800-122 et l'article 4(1) du RGPD s'arrêtent tous deux à l'individu, si bien que les données liées à un appareil ou une adresse partagés sont réglementées en Californie et ne le sont pas dans les deux autres cadres. C'est l'un des trois décalages structurels que produisent les trois définitions.