Cela dépend. Ce numéro pourrait-il être lié à une seule personne? (par exemple, c'est votre numéro de cellule et si je sais que ce numéro est dans une base de données et que je sais que c'est le vôtre, alors je sais que vous êtes dans cette base de données)

Alors oui.

Si c'est n'est pas possible (par exemple, c'est l'appel central en numéro d'une grande entreprise qui est connecté à un agent disponible) alors non.

Si vous n'avez que des numéros de téléphone sans plus d'informations à leur sujet, vous devez supposer il s'agit de PII, car vous ne savez pas si un numéro appartient à un individu ou non.

Je n'utilise pas WA, je ne sais donc pas précisément à quelle pratique la question fait référence, mais supposons que la question se réfère à une pratique où une application sur le téléphone d'un utilisateur a accès aux contacts et à l'historique des textes sur le téléphone et télécharge tous les numéros de téléphone sur le serveur sans également télécharger les noms associés à ces numéros (malgré y avoir accès.)

Ces numéros nus téléchargés, sans noms, sont-ils considérés comme des PII?

Oui, absolument.

Le serveur ne collecte pas les séquences de nombres au hasard, les utilise pour remplir un modèle quelconque, puis les supprime.

Il s'agit de construire une structure de données durable qui a des entités qui sont destinées en fin de compte à être mappées aux humains, et de stocker ces nombres sous forme de métadonnées avec ces entités. (Test clé - lorsqu'un contact sur le téléphone a 2 numéros, ces 2 numéros sont-ils associés d'une manière ou d'une autre à la même entité durable côté serveur?)

Le fait qu'à un point particulier de zoom dans l'architecture globale à un moment donné, il n'y a pas de nom stocké directement avec le numéro dans une ligne de base de données relationnelle n'est pas pertinent.

Dans l'architecture globale, comprenant à la fois les applications clientes et le serveur, et les données les flux actuellement en place ainsi que les flux de données qui pourraient raisonnablement facilement être mis en place sans action de l'utilisateur - par exemple, une mise à jour d'application qui collectait également des noms pourrait être déployée de manière triviale sans connaissance de l'utilisateur ou autorisation supplémentaire - vue d'ensemble, il s'agit d'une architecture graphique qui a PII.

Les informations personnelles sont un problème au niveau de la forêt, pas un problème au niveau de l'arbre.

Les PII sont tout ce qui peut être associé directement ou indirectement à une personne sur la base du règlement 2016/679 du Parlement européen.

«données personnelles» désigne tout les informations relatives à une personne physique identifiée ou identifiable («personne concernée»); une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs facteurs spécifiques au physique, physiologique, l'identité génétique, mentale, économique, culturelle ou sociale de cette personne physique;

De la section des définitions du règlement susmentionné

Parce que vous peut mettre en corrélation un numéro de téléphone avec une personne (propriétaire du contrat) et ce numéro peut être unique à cette personne, vous devriez le considérer comme des informations personnelles.

Je dis cela par précaution car vous ne savez jamais si c'est est un numéro de téléphone public, un téléphone partagé ou tout autre cas d'utilisation.

Dans de nombreux cas, même s'il s'agit d'un numéro partagé, il est toujours possible de le corréler à une personne.

Le seul qui n'est pas possible est les téléphones publics.

Parce que nous ne le savons pas, nous ne pouvons pas prendre le risque d'une sécurité assouplie pour tous les autres numéros de téléphone qui pourraient être associés de manière unique à une personne spécifique.

L'adresse IP peut également être des informations personnelles , parce que nous ne savons pas s'il s'agit d'un proxy ou d'un routeur dans une maison, nous devrions les traiter comme égaux.

Une explication plus simpliste peut être trouvée dans le lien ci-dessous du Parlement européen avec des exemples.

https://ec.europa.eu/info/law/law-topic/data-protection/reform/what-personal-data_en

Les données personnelles sont toute information relative à une personne vivante identifiée ou identifiable. Différentes informations, qui ensemble peuvent conduire à l'identification d'une personne en particulier, constituent également des données personnelles.Les données personnelles qui ont été dépersonnalisées, cryptées ou pseudonymisées mais qui peuvent être utilisées pour réidentifier une personne restent des données personnelles et tombent dans le cadre de la loi. Les données personnelles qui ont été rendues anonymes de telle sorte que l'individu n'est pas ou plus identifiable ne sont plus considérées comme des données personnelles. Pour que les données soient réellement anonymisées, l'anonymisation doit être irréversible.La loi protège les données personnelles quelle que soit la technologie utilisée pour le traitement de ces données - elle est technologiquement neutre et s'applique à la fois au traitement automatisé et manuel, à condition que les données soient organisées conformément aux pré- critères définis (par exemple ordre alphabétique). Peu importe la manière dont les données sont stockées - dans un système informatique, via la vidéosurveillance ou sur papier; dans tous les cas, les données personnelles sont soumises aux exigences de protection énoncées dans le RGPD.

Oui

Clairement et fondamentalement, sans aucun doute; et avec des implications particulièrement fortes lorsqu'il est utilisé dans un contexte de médias sociaux comme WhatsApp.

Le problème n'est pas de savoir si WhatsApp associe ce numéro de téléphone à un nom lors de son envoi à leur serveur. Le problème est que l'information elle-même (le numéro de téléphone) est liée à vous, une personne. Les informations personnelles ne concernent pas tant l'utilisation, mais davantage le contenu d'informations statiques de certaines données.

Bien sûr, il y a des degrés à cela. Par exemple, les dates de naissance. Si je prends un échantillon d'une date de naissance aléatoire (sans aucune information jointe) d'une personne que je rencontre dans la rue la plus fréquentée d'une ville de 10 millions d'habitants, alors cette date de naissance ne m'aide probablement pas à identifier la personne plus tard. Mais si je fais la même chose dans une petite salle de classe, il est fort probable que je puisse le faire. (Nonobstant le paradoxe de l'anniversaire.)

Dans le cas du numéro de téléphone, ou d'un numéro d'identification sociale, etc., le cas est clair - je peux immédiatement identifier la personne seule sur le monde liée à ce numéro ( peut-être à partir d'un annuaire téléphonique, peut-être simplement en appelant et en obtenant leur nom s'ils ne font pas attention).

Les scénarios potentiellement inquiétants pour l'utilisation de tels numéros de téléphone nus sont nombreux; par exemple. profilage (par correspondance avec d'autres enregistrements contenant le numéro); découvrir des groupes de personnes (en saisissant un ensemble de nombres qui sont en quelque sorte regroupés dans l'application); etc.

La majorité des numéros de téléphone sont liés à des personnes uniques (par exemple, leur téléphone portable, leur bureau ou leur domicile), ce qui fait d'un numéro de téléphone un numéro d'identification unique pointant vers une seule personne.

Vous pourriez aussi affirmer que certains numéros de téléphone ne sont évidemment pas associés à une personne, mais puisque le pourcentage de nombres qui sont largement supérieurs à ceux qui ne le sont pas. (Depuis 2005, les lignes de téléphonie fixe sont en baisse et l'utilisation du téléphone mobile est en hausse, avec actuellement 67% de la population mondiale ayant un numéro de téléphone mobile. )

Les numéros de téléphone peuvent clairement être utilisés pour réidentifier une personne à un stade ultérieur du traitement des données. Si vous l'enrichissez avec suffisamment d'autres données (par exemple, abonnements, visites de sites Web, géolocalisations), vous pouvez même identifier la personne physique. Certaines entreprises associent des numéros de téléphone à des identifiants de cookies publicitaires en ligne menant à des profils très riches. Les services en ligne (par exemple, le service d'achat de billets de cinéma) sont également connus pour vendre ces données.

C'est pourquoi je pense que dans la plupart des cas, un numéro de téléphone doit être considéré comme une donnée personnelle. Donc toujours gérer les numéros de téléphone comme des données personnelles semble la chose la plus sage à faire, à moins que vous ne soyez sûr à 100% que vous ne traitez que les numéros de téléphone des organisations publiques par exemple.

Oui

Une comparaison de base que j'ai utilisée est avec le nom d'un client, est-ce qu'une information me permet de choisir un individu meilleur ou pire qu'un nom? Vous pouvez avoir des centaines de 'John Smith's mais vous n'aurez jamais qu'un seul individu par numéro de téléphone (ou, tout au plus, une famille) et, par conséquent, cela en fait une information plus identifiante que le nom de la personne .