La notion de « données à caractère personnel » (ou DCP) est introduite en 2016 par le règlement général sur la protection des données (RGPD).

Dans l’article 4.1, les « données à caractère personnel »  sont entendues comme étant “toute information se rapportant à une personne physique identifiée ou identifiable (dénommée « personne concernée ») ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.”

Dans ces conditions, toutes les données analytics provenant d’un « identifiant en ligne » (ID cookie, mobile, etc.) doivent être considérées comme des données à caractère personnel. Par conséquent, leur collecte, leur traitement et leur stockage sont soumis à l’ensemble des dispositions du RGPD.

Par ailleurs, à noter que le respect des obligations du RGPD est un prérequis incontournable pour pouvoir bénéficier de l’exemption du recueil préalable de consentement en France, comme l’indique la CNIL à l’alinéa 52 de ses dernières lignes directrices relatifs aux cookies et autres traceurs.

D’où l’importance de savoir comment votre fournisseur de mesure d’audience gèrent vos données analytics. Il vous faut également documenter votre utilisation des données à caractère personnel, et en informer clairement vos utilisateurs finaux.