Les numéros de téléphone sont-ils des informations personnelles (PII) ? Oui.
Oui. Sous pratiquement tous les cadres majeurs vie privée — RGPD, CCPA/CPRA, HIPAA, LGPD, PIPEDA, Australia Privacy Act — un numéro de téléphone est classé comme Information d'identification personnelle (PII) (ou Donnée Personnelle/Information Personnelle).
Pourquoi une chaîne de 10 chiffres est PII
- Lien direct : Un numéro résout de façon unique vers fiche abonné (nom, adresse, infos facturation) détenue par opérateur.
- Clé de croisement : C'est la clé primaire joignant jeux de données — bases marketing, profils data-brokers, graphes sociaux (sync Facebook/LinkedIn), logs 2FA, scores fraude.
- Capacité contact : La possession permet intrusion directe (appels, SMS, WhatsApp, Signal, RCS) — un préjudice vie privée en soi.
- Persistance : Numéros portables (LNP) et conservés années. Contrairement aux cookies, ils survivent changements appareil/navigateur.
Traitement réglementaire
| Réglementation | Classification | Obligation clé |
|---|---|---|
| RGPD (UE) | Donnée Personnelle (Art. 4(1)) | Base légale requise traitement ; AIPD grande échelle ; droit effacement. |
| CCPA/CPRA (CA) | Information Personnelle (§1798.140) | Opt-out vente/partage ; PI sensible si combiné géoloc précise. |
| HIPAA (US Santé) | Identifiant PHI (18 identifiants) | Téléphone + données santé = PHI. Exige BAA, chiffrement, minimum nécessaire. |
| TCPA (US Telecom) | Info Contact Protégée | Consent requis autodialer/robo-text ; registre Do-Not-Call. |
| LGPD (Brésil) | Dado Pessoal | Consent ou intérêt légitime ; application ANPD. |
Implications pratiques
- Développeurs : Hasher (SHA-256 + sel) ou tokeniser numéros dans logs/analytics. Jamais stocker brut côté client.
- Marketeurs : Traiter comme sensible. Honorer opt-outs. Nettoyer contre listes DNC tous les 30 jours.
- Utilisateurs : Utiliser Apple Hide My Email / Firefox Relay / SimpleLogin pour inscriptions. Envisager numéro VoIP (Google Voice, MySudo, Hushed) comme couche jetable.
- Entreprises : Inclure numéros dans Cartes Données, Registres Activités Traitement (RoPA), et déclencheurs notification violation.
Cas limite : « Numéros professionnels »
Une ligne principale entreprise (+1-800-555-0199) n'est généralement pas PII — elle identifie une entité, pas une personne physique. Mais une ligne directe ou mobile assignée à un employé est PII.
Ligne directrice : Si ça peut joindre un humain, c'est PII. Traiter en conséquence.