Un numéro de téléphone, pris isolément, ressemble à une simple suite de chiffres. Sa qualification juridique dépend d’un critère précis posé par le RGPD : permet-il, directement ou par recoupement, d’identifier une personne physique ? La réponse est oui dans la grande majorité des cas d’usage courants. Un numéro de mobile est attribué à un abonné identifié auprès d’un opérateur, ce qui suffit à en faire une donnée à caractère personnel au sens de l’article 4 du règlement européen.
Identifiabilité : le critère qui transforme un numéro en donnée personnelle
Le RGPD définit la donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable ». Le terme clé est identifiable : il ne faut pas que le numéro permette à lui seul de nommer quelqu’un, il suffit qu’un moyen raisonnable existe pour y parvenir.
A voir aussi : Comment savoir si j’ai un ransomware ?
Un numéro de téléphone mobile remplit ce critère presque systématiquement. L’opérateur télécom détient l’identité de l’abonné. Toute entité disposant d’un fichier client associant ce numéro à un nom, une adresse ou un historique d’achat manipule donc une donnée personnelle.
Le cas d’un numéro de ligne fixe professionnelle, partagé entre plusieurs collaborateurs sans attribution nominative, pose davantage de questions. Si ce numéro ne permet pas, même par recoupement, d’isoler une personne physique précise, il pourrait ne pas être qualifié de donnée personnelle. En pratique, ce scénario reste marginal : la plupart des lignes fixes sont associées à un poste ou à un agent identifiable dans l’annuaire interne de l’organisation.
A découvrir également : Qu'est-ce que la prévention du phishing ?
Numéro de téléphone et RGPD : obligations concrètes lors de la collecte
Dès qu’un numéro de téléphone constitue une donnée personnelle, le responsable de traitement doit respecter un ensemble d’obligations. Trois d’entre elles posent le plus de difficultés opérationnelles.
- La base légale doit être déterminée avant la collecte : consentement, exécution d’un contrat, intérêt légitime ou obligation légale. Pour la prospection commerciale par téléphone, le consentement préalable du consommateur est désormais requis depuis août 2026, ce qui renforce la rigueur attendue sur ce point.
- L’information de la personne concernée doit être fournie au moment de la collecte : finalité du traitement, durée de conservation, droits d’accès, de rectification et d’effacement. Un formulaire web qui demande un numéro de téléphone sans mentionner ces éléments est non conforme.
- La documentation de la source du numéro devient un enjeu de conformité à part entière. Les autorités de protection examinent de plus en plus l’origine des coordonnées (formulaire, achat de fichier, scraping) et la gouvernance appliquée à ces données.
L’affaire Kaspr : un précédent sur les numéros collectés via LinkedIn
La CNIL a sanctionné en décembre 2024 l’exploitation de coordonnées de contact masquées sur LinkedIn. L’entreprise Kaspr collectait des numéros de téléphone que les utilisateurs avaient choisi de ne pas rendre publics. La sanction confirme qu’un numéro reste une donnée personnelle protégée même lorsqu’il circule dans un environnement semi-public, et que la limitation de visibilité choisie par l’utilisateur s’impose au collecteur.
Ce cas illustre un piège fréquent : supposer qu’un numéro disponible sur un réseau social est librement exploitable. La visibilité d’une donnée ne détermine pas sa qualification juridique, ni la licéité de sa collecte.
Protection des numéros de téléphone : différence entre anonymisation et pseudonymisation
Une question revient souvent dans les projets data : peut-on « dépersonnaliser » un numéro de téléphone pour échapper aux contraintes du RGPD ?
La pseudonymisation consiste à remplacer le numéro par un identifiant technique (token, hash) tout en conservant une table de correspondance. Le RGPD continue de s’appliquer intégralement, car la ré-identification reste possible pour le responsable de traitement.
L’anonymisation, elle, supprime tout lien réversible avec la personne. Un numéro de téléphone véritablement anonymisé (par exemple agrégé dans une statistique de volume d’appels par zone géographique, sans possibilité de remonter à un individu) sort du champ du RGPD. En pratique, anonymiser un numéro de téléphone de manière irréversible tout en conservant une utilité métier est rarement réalisable.
Données personnelles et numéro de téléphone : erreurs fréquentes à éviter
Plusieurs pratiques courantes créent des risques de non-conformité sans que les responsables en aient conscience.
- Stocker des numéros de téléphone dans un tableur partagé sans restriction d’accès ni durée de conservation définie. Ce fichier constitue un traitement de données personnelles soumis au RGPD, même s’il ne contient que des numéros et des prénoms.
- Réutiliser un fichier de prospects dont la source initiale n’est plus traçable. Sans preuve de la base légale d’origine (consentement, contrat), le traitement devient contestable en cas de contrôle.
- Considérer qu’un numéro de téléphone professionnel échappe au RGPD. Dès lors que ce numéro est attribué à une personne physique identifiable (ligne directe, mobile de fonction), le régime de protection s’applique sans distinction.
Le numéro de téléphone est une donnée personnelle dans la quasi-totalité des contextes où il est collecté et traité. Les rares exceptions (lignes partagées non rattachables à un individu, données réellement anonymisées) restent théoriques pour la plupart des organisations. Documenter l’origine de chaque numéro, définir une base légale claire et respecter les choix de visibilité des personnes concernées constitue le socle minimal de conformité attendu par la CNIL.
