Pour étiqueter les données à caractère personnel dans toutes vos sources, commencez par inventorier les endroits où elles se trouvent. Définissez ensuite un petit ensemble d’étiquettes communes, à appliquer aux tables et aux colonnes. Pour chaque source, désignez une personne responsable de leur mise à jour lorsque les données évoluent. Le RGPD n’impose pas cet étiquetage en tant que tel. Il prévoit toutefois des obligations de connaissance et de documentation des traitements, selon votre rôle et votre situation. Les étiquettes peuvent vous aider à relier cette documentation aux données réellement utilisées, sans constituer à elles seules une preuve de conformité.
En bref
- Le RGPD n’impose pas d’étiquettes, mais celles-ci peuvent vous aider à documenter les données personnelles traitées, leurs finalités et leur localisation.
- Étiquetez les colonnes à l’aide d’un petit ensemble d’étiquettes communes, pour que chacun les applique de la même manière.
- Une étiquette sans responsable devient vite obsolète. Désignez une personne chargée de la tenir à jour.
Que demande réellement le RGPD ?
Le RGPD, règlement (UE) 2016/679, ne prescrit pas un système d’étiquetage des données. Il prévoit néanmoins plusieurs obligations auxquelles un tel système peut contribuer. Les points suivants résument les dispositions pertinentes ; leur application dépend du contexte et du rôle de votre organisation.
- Savoir ce qui constitue une donnée à caractère personnel. L’article 4, point 1, en donne une définition large : toute information se rapportant à une personne physique identifiée ou identifiable. Un numéro de client peut donc aussi être une donnée personnelle.
- Tenir un registre des activités de traitement lorsque cette obligation s’applique. L’article 30 prévoit des obligations distinctes pour les responsables du traitement et les sous-traitants. Le registre du responsable du traitement comprend notamment les finalités, les catégories de personnes concernées et de données personnelles ainsi que, dans la mesure du possible, les délais d’effacement prévus. Des exceptions existent, notamment pour certaines organisations de moins de 250 personnes, mais elles sont limitées et soumises à conditions.
- Accorder une attention particulière aux catégories particulières de données. L’article 9 interdit en principe le traitement de données concernant notamment la santé, l’origine raciale ou ethnique et les données biométriques utilisées pour identifier une personne de manière unique, sauf si une exception prévue par cet article s’applique.
- Ne pas collecter plus de données, ni les conserver plus longtemps, que nécessaire. L’article 5 prévoit notamment les principes de minimisation et de limitation de la conservation. Le responsable du traitement doit pouvoir démontrer le respect des principes applicables.
- Permettre l’exercice des droits des personnes concernées. Pour répondre à une demande d’accès, au titre de l’article 15, ou d’effacement, au titre de l’article 17, il faut pouvoir retrouver les données concernées. Ces droits s’exercent selon les conditions et les exceptions prévues par le règlement.
En pratique, une cartographie des données personnelles facilite ce travail. Les étiquettes dans vos sources peuvent relier votre registre aux tables et colonnes réellement utilisées. Elles ne remplacent ni l’analyse juridique des traitements ni les mesures de protection nécessaires.
Pourquoi l’étiquetage n’est pas un projet ponctuel
Beaucoup d’équipes abordent l’étiquetage comme un projet avec une date de fin : analyser toutes les sources, remplir un fichier Excel, puis considérer le RGPD comme réglé. Pourtant, vos sources de données continuent d’évoluer.
Par exemple, l’équipe marketing ajoute une colonne « date de naissance » dans le CRM pour une campagne d’anniversaire. Deux semaines plus tard, cette colonne se retrouve aussi dans le data warehouse et dans un modèle Power BI utilisé pour le reporting des campagnes. Personne n’a adapté l’étiquetage, parce que personne ne s’en sentait responsable.
L’étiquetage est facile à lancer, mais difficile à maintenir. C’est pourquoi ce guide accorde autant d’importance aux responsabilités qu’aux étiquettes elles-mêmes.
Comment repérer les données personnelles dans toutes vos sources ?
Commencez par vos sources, pas par le texte juridique. Un inventaire construit source par source pourra ensuite être relié à votre registre.
- Recensez toutes vos sources de données. Incluez les systèmes opérationnels comme le CRM, les outils RH et l’ERP, mais aussi votre data warehouse ou lakehouse, vos modèles Power BI et les fichiers Excel partagés.
- Examinez d’abord les métadonnées. Les noms et descriptions des tables et des colonnes donnent souvent de bonnes indications : nom, adresse e-mail, adresse postale, numéro de registre national, IBAN. Vous pouvez ainsi limiter la consultation des données elles-mêmes.
- Interrogez les personnes qui connaissent la source. Une colonne « champ_07 » ne vous apprend rien. Le gestionnaire de l’application ou l’équipe qui utilise la source au quotidien sait généralement ce qu’elle contient.
- Suivez les données en aval. Une donnée personnelle issue d’un système source se retrouve souvent dans des copies, des exports et des rapports. Conservez un étiquetage cohérent sur chaque copie tant que les données restent personnelles ; réévaluez-le si une transformation modifie réellement leur caractère identifiable.
- N’oubliez pas les environnements de test et de développement. Ils contiennent souvent des copies des données de production, parfois avec moins de surveillance.
De quelles étiquettes avez-vous besoin ?
Gardez un ensemble restreint. Plus les étiquettes sont nombreuses, plus les personnes qui les attribuent risquent d’hésiter. Les quatre étiquettes ci-dessous constituent un point de départ pratique, à adapter à vos traitements. Elles ne sont pas toutes exclusives : une donnée pseudonymisée peut aussi relever d’une catégorie particulière.
| Étiquette | Ce qu’elle couvre | Exemples | Conséquences pour l’utilisation |
|---|---|---|---|
| Donnée non personnelle | Données qui ne se rapportent pas à une personne identifiée ou identifiable | Codes produits, chiffre d’affaires par groupe de produits, sans possibilité d’identifier une personne | Utilisation selon les règles habituelles, sous réserve des autres exigences applicables |
| Donnée personnelle | Informations permettant une identification directe ou indirecte, au sens de l’article 4, point 1 | Nom, adresse e-mail, numéro de client | Utilisation dans le cadre de finalités et de conditions licites, documentées dans le registre lorsqu’il est requis |
| Donnée pseudonymisée | Données personnelles qui ne peuvent plus être attribuées à une personne sans informations supplémentaires, conservées séparément et protégées, au sens de l’article 4, point 5 | Identifiant client remplacé, avec une table de correspondance séparée | Reste une donnée personnelle ; la pseudonymisation peut réduire les risques selon sa mise en œuvre |
| Catégorie particulière | Données relevant de l’article 9 | Données de santé, appartenance syndicale, données biométriques utilisées pour identifier une personne de manière unique | Nécessite notamment une exception applicable au titre de l’article 9, une base juridique appropriée et des mesures de protection adaptées, dont un accès restreint |
À quel niveau étiqueter : source, table ou colonne ?
Étiquetez au niveau des colonnes lorsque c’est possible. Une table « clients » peut contenir à la fois des données personnelles et des caractéristiques non personnelles. Une seule étiquette au niveau de la table manque alors de précision.
Une étiquette par source constitue une bonne première étape : elle indique quels systèmes contiennent des données personnelles. Affinez ensuite par table et par colonne, en commençant par les sources les plus utilisées.
Les rapports et les modèles sémantiques méritent eux aussi un étiquetage. Une personne qui partage un rapport Power BI doit savoir s’il contient des données personnelles.
Qui est responsable d’une étiquette ?
Une étiquette exprime une appréciation sur les données. Quelqu’un doit pouvoir la justifier.
- Le responsable métier des données de la source décide de l’étiquette à attribuer à une colonne selon les règles validées par l’organisation. Il s’agit généralement d’une personne côté métier, plutôt que côté IT. Ce rôle opérationnel ne se confond pas nécessairement avec celui de responsable du traitement au sens du RGPD.
- Le délégué à la protection des données, ou DPO, lorsqu’il est désigné, conseille l’organisation sur les étiquettes et les règles à appliquer, et en contrôle l’application, par exemple par sondage. La validation et la mise en œuvre restent de la responsabilité de l’organisation, dans le respect de l’indépendance du DPO.
- L’équipe data ou BI applique techniquement les étiquettes et signale les nouvelles colonnes.
Désignez une personne identifiable par source, et pas seulement une équipe. Une responsabilité collective mal définie risque de laisser les demandes du DPO sans réponse.
Comment garder les étiquettes à jour ?
- Étiquetez au moment du changement, pas après. Ajoutez la question « Cela contient-il des données personnelles ? » à chaque demande de nouvelle colonne, source ou rapport.
- Réexaminez les étiquettes à intervalles réguliers. Demandez par exemple à chaque responsable de confirmer ses étiquettes tous les trimestres. Le RGPD ne fixe pas de fréquence spécifique pour cette révision : choisissez un rythme adapté aux risques et aux changements, que vous pouvez tenir.
- Gardez une trace des modifications et de leurs auteurs. Une étiquette modifiée sans historique est difficile à justifier après coup. Cette traçabilité peut contribuer à la démarche de responsabilisation prévue à l’article 5, paragraphe 2, sans suffire à démontrer la conformité.
- Reliez les étiquettes à votre registre. Faites référence, pour chaque traitement documenté, aux sources et colonnes qu’il utilise. Vous pourrez ainsi repérer plus facilement les traitements concernés lorsqu’une étiquette change.
Un cadre pratique : inventorier, étiqueter, attribuer, relier, réviser
- Inventorier : constituer une liste unique de toutes les sources de données, y compris les copies, les exports et les environnements de test.
- Étiqueter : utiliser quatre étiquettes communes comme point de départ, au niveau des colonnes lorsque c’est possible.
- Attribuer : désigner une personne responsable par source, capable de justifier les étiquettes.
- Relier : faire pointer chaque traitement du registre vers les sources étiquetées qu’il utilise.
- Réviser : vérifier les étiquettes à chaque changement et à intervalles réguliers.
Pour conclure
Une étiquette n’a de valeur que si elle est correcte le jour où quelqu’un en a besoin : lors d’une demande d’accès, d’un audit ou d’une violation de données. Commencez modestement, avec quatre étiquettes et les sources les plus utilisées. Désignez une personne responsable des étiquettes de chaque source et conservez une trace de chaque modification. Votre registre pourra alors mieux refléter les données réellement traitées, au lieu de rester un document isolé.
Questions fréquentes
Le RGPD m’oblige-t-il à étiqueter mes données ?
Non, le RGPD ne prescrit pas de système d’étiquetage. L’article 30 prévoit un registre des activités de traitement selon votre rôle et sous réserve d’exceptions limitées. L’article 5, paragraphe 2, impose au responsable du traitement de pouvoir démontrer le respect des principes applicables. Les étiquettes peuvent soutenir cette démarche, mais elles ne prouvent pas à elles seules la conformité.
Une colonne pseudonymisée contient-elle encore des données personnelles ?
Oui. Lorsque les données peuvent être attribuées à une personne à l’aide d’informations supplémentaires, elles restent des données personnelles, comme l’explique le considérant 26. Une étiquette spécifique permet de signaler la pseudonymisation et la réduction éventuelle des risques, sans laisser croire que les données sortent du champ du RGPD.
Qui doit attribuer les étiquettes : l’IT ou le métier ?
Dans l’organisation proposée ici, le responsable métier des données décide de l’étiquette d’une colonne, car il connaît son contenu et son usage. L’équipe data applique les étiquettes et signale les nouvelles colonnes. Le DPO, lorsqu’il est désigné, conseille sur les règles et en contrôle l’application ; leur validation et leur mise en œuvre restent de la responsabilité de l’organisation.
À quelle fréquence dois-je réviser mes étiquettes ?
Le RGPD ne fixe pas de fréquence spécifique pour la révision des étiquettes. Vérifiez-les à chaque nouvelle source, colonne ou nouveau rapport, ainsi qu’à chaque modification pertinente. Demandez aussi aux responsables de les confirmer régulièrement, par exemple tous les trimestres, selon les risques et le rythme des changements.
Comment repérer les données personnelles dans les rapports Power BI ?
Suivez les données depuis la source étiquetée jusqu’aux modèles sémantiques et aux rapports qui les utilisent. Si les informations restent relatives à une personne identifiée ou identifiable, elles restent des données personnelles dans le rapport. Étiquetez le rapport en conséquence pour informer les personnes qui le partagent. Une agrégation ou une transformation doit être évaluée avant de conclure que les données ne sont plus personnelles.