Qu’est-ce que les PII ? Types, exemples et différence avec les données personnelles
Les PII (personally identifiable information, données à caractère personnel) désignent toute information permettant d’identifier une personne précise — à elle seule, comme un numéro de passeport, ou combinée à d’autres données, comme un code postal associé à une date de naissance. La norme américaine, le NIST SP 800-122, les présente en deux volets : les informations qui distinguent ou permettent de retracer une identité, plus toute autre information liée ou pouvant être rattachée à cette personne.
Qu’est-ce qui constitue une PII ? La définition officielle
Il n’existe pas de liste fermée unique : ce qui compte dépend de la juridiction. La définition américaine la plus fréquemment citée provient de la publication spéciale NIST 800-122, qui répartit les PII en (1) les informations permettant de distinguer ou de retracer l’identité d’une personne — un nom, un numéro de sécurité sociale, une date et un lieu de naissance, le nom de jeune fille de la mère ou des données biométriques — et (2) toute autre information liée ou pouvant être rattachée à une personne, comme des données médicales, scolaires, financières ou professionnelles. (Source : NIST SP 800-122.) Ce critère « lié ou pouvant être rattaché » est l’idée maîtresse : une donnée n’a pas besoin de nommer quelqu’un pour être une PII ; il lui suffit de contribuer à l’identifier.
Types de PII, avec exemples
Le NIST regroupe les PII dans ces catégories d’exemple (à titre indicatif, sans être exhaustif) :
| Catégorie | Exemples |
|---|---|
| Noms | Nom complet, nom de jeune fille, nom de jeune fille de la mère, alias |
| Numéros d’identification personnels | SSN, passeport, permis de conduire, identifiant fiscal, identifiant patient, numéro financier ou de carte bancaire |
| Coordonnées | Adresse postale ou adresse e-mail |
| Identifiants de biens / en ligne | Adresse IP, adresse MAC, cookies et identifiants d’appareil |
| Numéros de téléphone | Mobile, fixe, fax |
| Caractéristiques personnelles | Photo du visage, empreintes digitales, scan de la rétine, signature vocale, autres données biométriques |
| Identifiants de biens détenus | Numéro d’immatriculation ou de carte grise d’un véhicule, numéro de série d’un appareil |
Catégories issues du NIST SP 800-122 §2.2. Occlira détecte 40+ types de ce genre dans les documents, tableurs, e-mails, fichiers audio et images.
Identifiants directs, identifiants indirects et quasi-identifiants
Les équipes chargées de la protection des données classent les PII selon la façon dont elles identifient une personne — la distinction qui sous-tend la plupart des schémas de classification :
- Les identifiants directs désignent une personne à eux seuls — un passeport ou un SSN, une adresse e-mail, un numéro de téléphone.
- Les identifiants indirects (quasi-identifiants) n’identifient personne isolément mais y parviennent en combinaison. L’exemple donné par le NIST : une liste de scores de crédit n’identifie personne, mais en y ajoutant l’âge, l’adresse et le sexe, les personnes deviennent identifiables. (Source : NISTIR 8053.)
La démonstration classique est celle de Latanya Sweeney, qui a ré-identifié le dossier médical « dé-identifié » d’un gouverneur américain à partir des seuls date de naissance, code postal et sexe, et a estimé que ces trois mêmes champs identifient de manière unique environ 87 % de la population américaine (une réplication ultérieure a situé ce chiffre autour de 63 %). (Source : Golle 2006, citant Sweeney.) C’est pourquoi retirer les noms évidents ne suffit pas : les quasi-identifiants résiduels peuvent ré-identifier les personnes, et un masquage fiable doit donc prendre en compte les deux.
PII, données personnelles et PHI
| Terme | Cadre | Portée | Exemple |
|---|---|---|---|
| PII | Pratique américaine (p. ex. NIST SP 800-122) | Information qui distingue ou permet de retracer une personne, plus tout ce qui lui est lié ou peut lui être rattaché | SSN, nom, e-mail, adresse IP |
| Données personnelles | RGPD UE/RU, art. 4, § 1 | Toute information se rapportant à une personne identifiée ou identifiable, directement ou indirectement — inclut explicitement les identifiants en ligne | Nom, données de localisation, identifiant de cookie, adresse IP |
| PHI | HIPAA (États-Unis) | Information de santé associée à l’un des 18 identifiants, détenue par une entité couverte | Un diagnostic associé à un nom ou à un numéro de dossier médical |
Les trois notions se recoupent largement, et la tâche concrète reste la même : trouver les identifiants et les retirer. La principale différence tient à leur portée. L’art. 4, § 1 du RGPD couvre toute personne identifiable « directement ou indirectement », et le considérant 30 précise que les identifiants en ligne — adresses IP, identifiants de cookies, étiquettes RFID — sont des données personnelles. Le RGPD est ainsi nettement plus large que la notion américaine classique de PII.
PII sensibles et non sensibles (et catégories particulières du RGPD)
Toutes les PII ne présentent pas le même risque : il est donc utile de les répartir en deux groupes.
- Les PII sensibles peuvent causer un préjudice réel si elles sont exposées et méritent la protection la plus forte — identifiants nationaux, données financières et de paiement, dossiers de santé, données biométriques et localisation précise.
- Les PII non sensibles sont souvent publiques ou à faible risque en elles-mêmes — un nom, un intitulé de poste ou une adresse e-mail professionnelle — et deviennent surtout risquées lorsqu’elles sont combinées à d’autres champs.
Le RGPD prévoit un palier plus strict et nommément défini, les données à caractère particulier, dont le traitement est interdit par défaut (art. 9) : les données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données génétiques, les données biométriques permettant d’identifier une personne de manière unique, les données de santé et les données concernant la vie sexuelle ou l’orientation sexuelle d’une personne. « Catégorie particulière » est le terme retenu par le RGPD ; « PII sensibles » en est l’équivalent américain, plus souple.
Les 18 identifiants HIPAA (méthode Safe Harbor)
Les données de santé américaines disposent de l’inventaire le plus concret de ce qui constitue un identifiant. Pour dé-identifier un dossier selon la méthode Safe Harbor de la HIPAA, une entité couverte doit retirer les 18 identifiants et n’avoir aucune connaissance effective que ce qui subsiste pourrait encore identifier la personne : (Source : 45 CFR 164.514(b)(2).)
- Noms
- Données géographiques plus fines qu’un État (seulement les 3 premiers chiffres du code postal, et uniquement si la zone compte plus de 20 000 habitants)
- Toutes les dates sauf l’année (naissance, admission, sortie, décès) ; les âges de plus de 89 ans regroupés en « 90 ans ou plus »
- Numéros de téléphone
- Numéros de fax
- Adresses e-mail
- Numéros de sécurité sociale
- Numéros de dossier médical
- Numéros de bénéficiaire d’un régime de santé
- Numéros de compte
- Numéros de certificat ou de licence
- Identifiants de véhicule et plaques d’immatriculation
- Identifiants d’appareil et numéros de série
- URL de sites web
- Adresses IP
- Identifiants biométriques, y compris empreintes digitales et vocales
- Photographies du visage en entier et images comparables
- Tout autre numéro, caractéristique ou code d’identification unique
La seconde voie de la HIPAA, l’Expert Determination, demande plutôt à un expert qualifié de confirmer que le risque de ré-identification est « très faible » — une norme de risque résiduel, et non l’affirmation d’un risque nul. (Source : HHS.)
Anonymisation, pseudonymisation et masquage
On emploie ces trois termes indifféremment, alors que le droit les traite très différemment.
| Technique | Réversible ? | Toujours des données personnelles ? | Objectif |
|---|---|---|---|
| Masquage | Les données sont supprimées ou noircies | Retirées de ce document | Retirer les identifiants d’un fichier avant de le partager |
| Pseudonymisation | Réversible — tant que la table de correspondance est conservée à part | Oui — restent des données personnelles (RGPD art. 4, § 5) | Réduire le risque tout en gardant les données exploitables et restaurables |
| Anonymisation | Irréversible — personne ne peut être ré-identifié | Non — hors du champ du RGPD si l’anonymisation est réelle (considérant 26) | Rendre la ré-identification impossible |
La distinction a un poids juridique déterminant. Au sens de l’art. 4, § 5 du RGPD, les données pseudonymisées — réversibles à l’aide d’informations conservées à part — restent des données personnelles ; seules des données véritablement anonymes (considérant 26) sortent du champ du RGPD. Les lignes directrices 2025 de l’EDPB sur la pseudonymisation le confirment : la tokenisation réversible réduit le risque, mais maintient les données dans le champ d’application.
Pourquoi retirer les noms ne suffit pas
Même une dé-identification soignée laisse subsister un risque résiduel. Un test de la méthode Safe Harbor de la HIPAA a constaté que moins de 1 % des dossiers pouvaient être ré-identifiés lorsqu’il ne restait que l’année de naissance, le sexe et les 3 premiers chiffres du code postal — faible, mais pas nul. (Source : NISTIR 8053.) Rapproché du chiffre de 87 % de Sweeney, l’enseignement reste le même : retirer les noms est la partie facile ; le vrai travail consiste à repérer les identifiants indirects qui désignent discrètement les personnes — c’est précisément ce qu’un bon outil de masquage doit faire, et pas seulement repérer les noms.
Comment retirer les PII de vos fichiers — en local
Une fois que vous savez quoi chercher, la façon sûre de les retirer consiste à garder l’ensemble de l’opération sur votre propre machine. Occlira est une application de bureau pour Windows et macOS qui détecte et retire 40+ types de PII — noms, identifiants nationaux, e-mails, identifiants financiers, données de santé et bien d’autres — dans les documents, tableurs, e-mails, fichiers audio et images, 100 % sur l’appareil, sans cloud et sans compte. Parce qu’elle signale aussi les identifiants indirects, et pas seulement les noms, elle répond au risque de ré-identification décrit plus haut.
Son anonymisation est réversible : elle remplace chaque identifiant par un marqueur neutre et conserve la table de correspondance sur votre appareil, ce qui vous permet de restaurer les originaux. Au sens du RGPD, c’est une pseudonymisation — une étape forte de réduction du risque, mais, comme indiqué plus haut, le résultat reste une donnée personnelle : voyez-y une minimisation des données plutôt qu’une sortie du champ des règles. Consultez anonymiser avant ChatGPT ou comment masquer Word, PDF et Excel pour la marche à suivre pas à pas.
Foire aux questions
Les PII (personally identifiable information, données à caractère personnel) désignent toute information permettant d’identifier une personne précise, à elle seule ou combinée à d’autres données. Le NIST les définit en deux volets : les informations qui distinguent ou permettent de retracer une identité (un nom, un SSN, une date et un lieu de naissance, des données biométriques), plus toute autre information liée ou pouvant être rattachée à cette personne (données médicales, financières, professionnelles ou scolaires).
« PII » est le terme courant aux États-Unis ; « données personnelles » est le terme du RGPD, et il est plus large — il couvre tout ce qui se rapporte à une personne identifiable, directement ou indirectement, et inclut explicitement les identifiants en ligne comme les adresses IP et les identifiants de cookies. La plupart des éléments qui constituent des PII sont aussi des données personnelles ; le RGPD ratisse simplement plus large.
Les PHI (protected health information) sont le sous-ensemble défini par la loi HIPAA : des informations de santé associées à l’un des 18 identifiants précis et détenues par une entité couverte, comme un hôpital ou un régime de santé. Toutes les PHI sont des PII, mais bien des PII (une adresse e-mail professionnelle, par exemple) ne sont pas des PHI.
Oui. Une adresse e-mail renvoie à une personne précise — a fortiori une adresse professionnelle construite à partir d’un nom — et constitue donc une PII aux États-Unis comme une donnée personnelle au sens du RGPD.
Au sens du RGPD, oui : le considérant 30 range les adresses IP parmi les identifiants en ligne qui rendent une personne identifiable ; elles constituent donc des données personnelles. Les définitions américaines ne la traitaient historiquement comme une PII qu’en combinaison, mais tendent de plus en plus à la considérer comme telle en soi.
Un identifiant direct désigne une personne à lui seul (un SSN, un numéro de passeport, un e-mail). Les identifiants indirects, ou quasi-identifiants, n’identifient personne isolément mais y parviennent en combinaison : date de naissance, code postal, sexe, intitulé de poste. Le NIST relève qu’une liste de scores de crédit n’identifie personne, mais qu’en y ajoutant l’âge, l’adresse et le sexe, les personnes deviennent identifiables.
La pseudonymisation remplace les identifiants par des marqueurs réversibles tant que la table de correspondance est conservée à part — au sens de l’art. 4, § 5 du RGPD, le résultat reste une donnée personnelle. L’anonymisation vise à rendre la ré-identification impossible ; c’est seulement alors (considérant 26) que les données sortent du champ du RGPD. Les lignes directrices 2025 de l’EDPB sur la pseudonymisation confirment que les données pseudonymisées demeurent dans le champ d’application.
Oui. Parce qu’elles peuvent être rattachées de nouveau à une personne à l’aide des informations supplémentaires conservées à part, les données pseudonymisées demeurent des données personnelles au sens du RGPD. La démarche réduit le risque et préserve la réversibilité, mais elle ne se confond pas avec l’anonymisation.
Souvent, oui. Une étude marquante de Latanya Sweeney a estimé qu’environ 87 % de la population américaine est identifiable de manière unique à partir du code postal, de la date de naissance complète et du sexe ; une réplication ultérieure a situé ce chiffre autour de 63 %. C’est pourquoi retirer les seuls noms n’anonymise pas un jeu de données — les quasi-identifiants peuvent encore désigner les personnes.
Trouvez et retirez les PII en local
Détectez et retirez les données personnelles dans vos fichiers, sur votre propre ordinateur. Gratuit pendant 14 jours sous Windows et macOS.
À lire aussi : utiliser l’IA sans enfreindre le RGPD · retirer les données personnelles d’un fichier audio · comment vos données sont traitées