Notre glossaire, méticuleusement élaboré, est votre boussole dans l’univers complexe et dynamique du marketing, de la communication et du digital. Ici, chaque terme est une clé que nous vous aidons à décrypter pour vous ouvrir a des concepts innovants et des stratégies éprouvées. Plongez dans nos thématiques pour éclairer votre chemin vers l’excellence et la créativité.
DCP est le sigle de donnée à caractère personnel, notion du droit européen qui désigne toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement.
La définition figure à l’article 4 du RGPD. Une personne est identifiable lorsqu’on peut la reconnaître par un identifiant, comme un nom, un numéro d’identification, des données de localisation ou un identifiant en ligne. Elle l’est aussi par un ou plusieurs éléments propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. En marketing, sont ainsi des DCP une adresse électronique, un numéro de téléphone, un identifiant de cookie ou un historique d’achats rattaché à un client.
La notion comprend deux grandes familles. Les données courantes peuvent être traitées sur l’une des bases légales prévues par le texte. Les catégories particulières de l’article 9 du RGPD font l’objet d’une interdiction de principe, assortie d’exceptions. Elles couvrent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données génétiques, les données biométriques traitées pour identifier une personne de manière unique, la santé, la vie sexuelle et l’orientation sexuelle.
Une donnée soumise à une pseudonymisation reste une DCP pour l’organisme qui détient de quoi rétablir le lien avec la personne. Seule une anonymisation des données effective la fait sortir du champ du règlement pour tous. Une information sur une entreprise, personne morale, n’est pas une DCP ; l’adresse électronique nominative d’un salarié en est une. Le sigle s’emploie surtout dans la documentation de conformité : registre des traitements, contrats, politiques internes. Il équivaut à l’expression « données personnelles ».
Le sigle n’a rien d’officiel, mais il est d’usage chez les spécialistes. La CNIL l’emploie elle-même dans des supports de présentation, par exemple ceux de son service de l’expertise technologique aux Rencontres cybersécurité Bretagne de 2018 (« Qu’est-ce qu’une donnée à caractère personnel (DCP) ? »). Notre lecture : le sigle est commode dans un registre ou un cahier des charges, mais il reste opaque pour un client ou un candidat. Nous recommandons l’expression complète dans tout document destiné au public.
Une erreur répandue en marketing consiste à chercher les DCP dans la seule base de données clients. Elles se logent aussi dans les exports partagés par messagerie, les fichiers de test, les champs de commentaire libre, les outils de mesure qui stockent un identifiant d’utilisateur. Une adresse électronique hachée reste une DCP : la CNIL rappelle que des données pseudonymisées conservent un caractère personnel, parce que la réidentification reste souvent possible (« L’anonymisation de données personnelles », 2020).
Le DPO anime la démarche, mais chaque responsable d’outil marketing doit répondre de ses fichiers. Nous recommandons d’inscrire le nom de ce responsable dans le registre, en regard de chaque traitement.
Nous proposons quelques repères de pilotage, non des normes. Comptez les fichiers contenant des DCP stockés hors des systèmes de référence. Mesurez la part des traitements inscrits au registre avec une durée de conservation définie. Suivez le délai de réponse aux demandes des personnes et le nombre de copies d’un même fichier client. Une baisse régulière du nombre de copies est souvent un meilleur signe de maîtrise qu’un registre exhaustif mais jamais mis à jour.
Advalians diagnostique l’organisation de vos équipes marketing, repère les points de friction et bâtit avec elles une répartition des rôles et une feuille de route.
Une DCP permet d’identifier une personne, directement ou indirectement ; une donnée anonyme ne le permet plus, de manière irréversible. La différence est décisive : le RGPD s’applique à la première, pas à la seconde.
Entre les deux se trouve la donnée pseudonymisée, par exemple une adresse électronique hachée. Elle reste une DCP pour celui qui peut rétablir la correspondance. Critère pratique : si quelqu’un, dans votre organisation ou chez un partenaire, détient de quoi relier la donnée à une personne, traitez-la comme une DCP. Les conditions d’une anonymisation des données effective sont exigeantes.
Partez des outils, pas des fichiers : gestion de la relation client, routage, mesure d’audience, formulaires, plateformes publicitaires. Pour chacun, notez les champs collectés, la finalité, la durée de conservation et les destinataires.
Recherchez ensuite les copies : exports partagés, fichiers de test, tableurs locaux. Reportez le tout dans le registre des activités de traitement et faites-le valider par le DPO. Planifiez une mise à jour à chaque nouvel outil ou nouvelle campagne, et non une fois par an.
Suivez quelques indicateurs simples, que nous proposons comme repères et non comme normes. Le nombre de fichiers contenant des DCP stockés hors des systèmes de référence. La part des traitements inscrits au registre avec une durée de conservation définie. Le délai de réponse aux demandes d’accès ou de suppression.
Ajoutez un contrôle par sondage : tirez au hasard un enregistrement ancien et vérifiez s’il aurait dû être supprimé. Un résultat positif révèle une purge défaillante, plus sûrement qu’un registre complet sur le papier.
Oui, dès qu’elle est nominative, car elle se rapporte à une personne physique identifiable. Seules les informations sur l’entreprise elle-même, personne morale, échappent à la notion, par exemple une adresse générique de type contact ou un numéro de standard.
L’erreur fréquente est d’exclure les fichiers de prospection entre entreprises du registre et des durées de conservation. Traitez chaque fichier de contacts professionnels comme un traitement de DCP. Vérifiez sa finalité, sa base légale, l’information des personnes et sa durée de conservation.
Employez le sigle dans les documents internes de conformité, où il allège la lecture, et l’expression complète partout ailleurs. Un registre, un cahier des charges ou un contrat de sous-traitance peuvent l’utiliser, à condition de le définir à la première occurrence.
Renoncez-y dans tout texte destiné aux personnes concernées : politique de confidentialité, formulaire, courriel. Ces textes doivent être compris sans connaissance préalable, et le sigle n’y apporte rien. Harmonisez enfin le vocabulaire entre services, pour qu’une même notion ne porte pas trois noms dans vos procédures.
Par Thomas Bizot – Président du cabinet Advalians
