Un numéro de téléphone autonome est-il considéré comme une information personnellement identifiable?
Les informations personnelles identifiables (PII) sont définies (l'exemple ci-dessous est du NIST ) comme (accent sur le mien)
Informations qui peuvent être utilisées pour distinguer ou tracer l'identité d'une personne , telles que le nom, le numéro de sécurité sociale, les enregistrements biométriques, etc. seuls, ou lorsqu'ils sont combinés avec d'autres informations personnelles ou d'identification liées ou pouvant être liées à une personne spécifique, telles que la date et le lieu de naissance, le nom de jeune fille de la mère, etc.
Comment interpréter cela dans le cas d'un numéro de téléphone unique, non associé à un nom?
En d'autres termes, si une application envoie des numéros de téléphone nus à un serveur (je vous regarde WhatsApp) sans le nom du propriétaire du numéro , est ce nombre encore PII?
EDIT: Jonah Benton a donné dans sa réponse un très joli résumé de la question, je le cite pour plus de clarté
(...) la question fait référence à une pratique où une application sur le téléphone d'un utilisateur a accès aux contacts (...) sur le téléphone et télécharge tous les numéros de téléphone sur le serveur sans télécharger également les noms associés à ces numéros (malgré leur accès.)
Ces numéros nus téléchargés, sans nom, sont-ils considérés comme des PII?
Ça dépend. Ce numéro pourrait-il être lié à une seule personne? (par exemple, c'est votre numéro de portable et si je sais que ce numéro est dans une base de données et que je sais que c'est le vôtre, alors je sais que vous êtes dans cette base de données)
Alors oui.
Si cela n'est pas possible (par exemple, c'est le numéro d'appel central d'une grande entreprise qui est connecté à un agent disponible), alors non.
Si vous ne disposez que de numéros de téléphone sans plus d'informations à leur sujet, vous devez supposer qu'il s'agit de PII, car vous ne savez pas si un numéro appartient à un individu ou non.
Je n'utilise pas WA, donc je ne sais pas précisément à quelle pratique la question se réfère, mais supposons que la question se réfère à une pratique où une application sur le téléphone d'un utilisateur a accès aux contacts et à l'historique des SMS sur le téléphone et télécharge tous les numéros de téléphone sur le serveur sans télécharger également les noms associés à ces numéros (bien qu'ils y aient accès).
Ces numéros nus téléchargés, sans nom, sont-ils considérés comme des PII?
Oui absolument.
Le serveur ne collecte pas de séquences de nombres au hasard, les utilise pour remplir un modèle quelconque, puis les supprime.
Il construit une structure de données durable qui a des entités qui sont finalement destinées à être mappées aux humains, et stocke ces nombres en tant que métadonnées avec ces entités. (Test clé - lorsqu'un contact sur le téléphone a 2 numéros, ces 2 numéros sont-ils associés d'une manière ou d'une autre à la même entité durable côté serveur?)
Le fait qu'à un point de zoom avant particulier dans l'architecture globale à un moment donné, il n'y ait pas de nom directement stocké avec le numéro dans une ligne de base de données relationnelle est sans importance.
Dans l'architecture globale, comprenant à la fois les applications clientes et le serveur, et les flux de données actuellement en place ainsi que les flux de données qui pourraient raisonnablement être mis en place sans action de l'utilisateur - par exemple, une mise à jour d'application qui collectait également des noms pourrait être trivialement déployé sans connaissance de l'utilisateur ou autorisation supplémentaire - vue d'ensemble, ceci est un graphique architectural qui a PII.
Les PII sont une préoccupation au niveau de la forêt, pas une préoccupation au niveau des arbres.
Les PII sont tout ce qui peut être associé directement ou indirectement à une personne sur la base de Règlement 2016/679 du Parlement européen .
"Données personnelles", toute information concernant une personne physique identifiée ou identifiable ("personne concernée"); une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs facteurs spécifiques à la physique, physiologique, l'identité génétique, mentale, économique, culturelle ou sociale de cette personne physique;
De la section des définitions du règlement susmentionné
Parce que vous pouvez corréler un numéro de téléphone avec une personne (propriétaire du contrat) et que ce numéro peut être unique à cette personne, vous devez le considérer comme une information PII.
Je dis cela par précaution car vous ne savez jamais s'il s'agit d'un numéro de téléphone public, d'un téléphone partagé ou de tout autre cas d'utilisation.
Dans de nombreux cas, même s'il s'agit d'un numéro partagé, il est toujours possible de le corréler à une personne.
Le seul qui n'est pas possible, ce sont les téléphones publics.
Parce que nous ne le savons pas, nous ne pouvons pas prendre le risque d'une sécurité détendue dans tous les autres numéros de téléphone qui pourraient être uniquement associés à une personne spécifique.
L'adresse IP peut également être PII, car nous ne savons pas s'il s'agit d'un proxy ou d'un routeur dans une maison, nous devons les traiter comme égaux.
Une explication plus simpliste peut être trouvée dans le lien ci-dessous du Parlement européen avec des exemples.
https://ec.europa.eu/info/law/law-topic/data-protection/reform/what-personal-data_en
Les données personnelles sont toute information relative à un individu vivant identifié ou identifiable. Différentes informations, collectées ensemble pouvant conduire à l'identification d'une personne en particulier, constituent également des données personnelles.Les données personnelles qui ont été dépersonnalisées, cryptées ou pseudonymisées mais peuvent être utilisées pour ré-identifier une personne restent des données personnelles et tombent dans le cadre de la loi. Les données personnelles rendues anonymes de telle sorte que l'individu ne soit pas ou plus identifiable ne sont plus considérées comme des données personnelles. Pour que les données soient véritablement anonymisées, l'anonymisation doit être irréversible.La loi protège les données personnelles quelle que soit la technologie utilisée pour le traitement de ces données - elle est neutre sur le plan technologique et s'applique à la fois au traitement automatisé et manuel, à condition que les données soient organisées conformément aux des critères définis (par exemple l'ordre alphabétique). Peu importe également comment les données sont stockées - dans un système informatique, par vidéosurveillance ou sur papier; dans tous les cas, les données personnelles sont soumises aux exigences de protection énoncées dans le RGPD.
Oui
Clairement et fondamentalement, sans aucun doute; et avec des implications particulièrement fortes lorsqu'il est utilisé dans un contexte de médias sociaux comme WhatsApp.
Le problème n'est pas de savoir si WhatsApp lie ce numéro de téléphone à un nom lors de son envoi à leur serveur. Le problème est que l'information elle-même (le numéro de téléphone) est liée à vous, une personne. Les informations personnelles ne concernent pas tant l'utilisation que les informations statiques de certaines données.
Bien sûr, il y a des diplômes là-dedans. Par exemple, les dates de naissance. Si je prends un échantillon d'une date de naissance aléatoire (sans aucune information jointe) d'une personne que je rencontre dans la rue la plus animée d'une ville de 10 millions d'habitants, cette date de naissance ne m'aidera probablement pas à identifier la personne plus tard. Mais si je fais de même dans une petite salle de classe, il est fort probable que je puisse le faire. (Nonobstant le paradoxe d'anniversaire.)
Dans le cas du numéro de téléphone, ou d'un numéro d'identification sociale, etc., l'affaire est limpide - je peux immédiatement identifier la seule personne sur le monde liée à ce numéro (peut-être à partir d'un annuaire téléphonique, peut-être simplement en appelant et en obtenant leur nom s'ils ne font pas attention).
Les scénarios potentiellement inquiétants pour l'utilisation de tels numéros de téléphone nus sont nombreux; par exemple. profilage (en faisant correspondre avec d'autres enregistrements contenant le numéro); découvrir des groupes de personnes (en saisissant un ensemble de nombres qui sont en quelque sorte regroupés dans l'application); etc.
La majorité des numéros de téléphone sont liés à des personnes uniques (par exemple, leur mobile, leur bureau ou leur domicile), ce qui fait d'un numéro de téléphone un numéro d'identification unique pointant vers une seule personne.
Vous pourriez également affirmer que certains numéros de téléphone ne sont évidemment pas associés à une personne, mais puisque le pourcentage de numéros dépasse largement les numéros qui ne le sont pas. (Depuis 2005 les lignes téléphoniques fixes sont en baisse et l'utilisation du téléphone mobile est en hausse, avec actuellement 67% de la population mondiale ayant un numéro de téléphone mobile . )
Les numéros de téléphone peuvent clairement être utilisés pour ré-identifier une personne à un stade ultérieur du traitement des données. Si vous l'enrichissez avec suffisamment d'autres données (par exemple, abonnements, visites de sites Web, géolocalisation), vous pourriez même identifier la personne physique. Certaines entreprises associent des numéros de téléphone à des identifiants de cookies publicitaires en ligne, ce qui conduit à des profils très riches. Les services en ligne (par exemple le service d'achat de billets de cinéma) sont également connus pour vendre ces données.
C'est pourquoi je pense que dans la plupart des cas un numéro de téléphone doit être considéré comme une donnée personnelle. Donc toujours traiter les numéros de téléphone comme des données personnelles semble la chose sage à faire, à moins que vous ne soyez sûr à 100% que vous ne traitez que les numéros de téléphone d'organisations publiques par exemple.
Oui
Une comparaison de base que j'utilise est avec le nom d'un client, un élément d'information me permet-il de choisir un individu meilleur ou pire qu'un nom? Vous pouvez avoir des centaines de 'John Smith's mais vous n'aurez jamais qu'une seule personne par numéro de téléphone (ou, tout au plus, une famille) et, par conséquent, cela en fait ne information plus identificatrice que le nom de la personne.