La notion de « données personnelles » est à comprendre de façon très large

Une personne peut être identifiée :

• directement, par exemple :
  • par un nom
  • par un prénom
• ou indirectement, par exemple :
  • par un identifiant (n° client),
  • par un numéro (de téléphone),
  • par une donnée biométrique,
  • par plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale, mais aussi la voix ou l’image.

L’identification d’une personne physique peut être réalisée :

• à partir d’une seule donnée : par exemple, un numéro de sécurité sociale, l’ADN...
• à partir du croisement d’un ensemble de données : par exemple, une femme vivant à telle adresse, née tel jour, abonnée à tel magazine et militant dans telle association...

Le nouveau règlement européen sur la protection des données personnelles est entré en application le 25 mai 2018.

Le règlement s’applique dès lors que le responsable de traitement ou le sous-traitant est établi sur le territoire de l’Union européenne ou que le responsable de traitement ou le sous-traitant met en œuvre des traitements visant à fournir des biens et des services aux résidents européens ou à les « cibler » (en anglais monitor).

En pratique, le droit européen s’applique chaque fois qu’un résident européen est directement visé par un traitement de données, y compris par Internet.

(source CNIL)

​