Données sensibles RGPD : définition et règles à connaître

Vous collectez des données de santé, une photo d'identité, parfois l'appartenance syndicale de vos salariés, et vous ne savez pas si le RGPD vous l'autorise. Beaucoup de dirigeants découvrent trop tard que ces informations relèvent d'un régime à part, plus strict que celui des données ordinaires. Un fichier mal cadré peut alors devenir un manquement lourd le jour d'un contrôle.

Les données sensibles au sens du RGPD ne sont pas n'importe quelles données personnelles. Ce sont des catégories précises, listées dans le texte, dont le traitement est en principe interdit sauf exception. Cet article explique ce que recouvre la notion, quelles catégories elle vise et quelles précautions prendre pour rester en règle.

Définition — Les données sensibles, appelées catégories particulières de données dans le RGPD, sont des informations personnelles jugées à haut risque pour les libertés des personnes : santé, opinions politiques, convictions religieuses, orientation sexuelle, données biométriques ou génétiques, entre autres. Leur traitement est interdit par principe, sauf dans les cas d'exception prévus par l'article 9.

Points clés

• Les données sensibles sont les catégories particulières listées à l'article 9 du RGPD, distinctes des données personnelles ordinaires.
• Elles couvrent la santé, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, l'orientation sexuelle, l'origine, les données biométriques et génétiques.
• Leur traitement est interdit par principe : il faut une exception explicite de l'article 9 pour y déroger.
• Les exceptions les plus courantes sont le consentement explicite, une obligation légale, la gestion de la santé ou la sauvegarde d'intérêts vitaux.
• Ces traitements exigent des précautions renforcées : une analyse d'impact est souvent requise et la sécurité doit être à la hauteur du risque.

Données sensibles : définition selon le RGPD

Les données sensibles sont les catégories particulières de données personnelles que le RGPD protège plus strictement que les autres. Le règlement ne parle d'ailleurs pas de données sensibles dans son texte, mais de catégories particulières de données. L'expression données sensibles reste la formulation courante pour les désigner.

La logique est simple. Toutes les données personnelles ne présentent pas le même niveau de risque. Un nom ou une adresse mail engagent moins la vie privée qu'une pathologie, une orientation sexuelle ou une opinion politique. Le législateur a donc isolé ces informations dans un régime renforcé.

Cette distinction change tout en pratique. Là où une donnée ordinaire peut reposer sur plusieurs bases légales, une donnée sensible est en principe interdite de traitement, sauf exception précise. Le RGPD, dans sa définition générale, pose le cadre commun. L'article 9 y ajoute cette couche de protection.

Bon à savoir — Certaines données ne figurent pas dans l'article 9 mais restent hautement sensibles au quotidien, comme le numéro de sécurité sociale ou les données bancaires. Elles suivent un régime propre, avec des précautions renforcées, même si elles ne relèvent pas des catégories particulières au sens strict.

Quelles sont les catégories particulières de l'article 9 ?

L'article 9 du RGPD dresse une liste fermée de catégories de données considérées comme sensibles. Un traitement n'est soumis à ce régime que si la donnée entre dans l'une d'elles.

Les catégories particulières visées sont les suivantes :

• Origine raciale ou ethnique de la personne.
• Opinions politiques : appartenance ou sympathie pour un parti.
• Convictions religieuses ou philosophiques.
• Appartenance syndicale.
• Données de santé : état physique ou mental, passé, présent ou futur.
• Vie sexuelle ou orientation sexuelle de la personne.
• Données génétiques : issues de l'analyse de l'ADN ou de l'ARN.
• Données biométriques traitées pour identifier une personne de façon unique, comme une empreinte digitale ou la reconnaissance faciale.

Une nuance mérite d'être signalée. Une donnée biométrique n'est sensible que lorsqu'elle sert à identifier une personne de manière unique. Une photo ne le devient que traitée par un procédé technique permettant cette identification. La qualification dépend donc de l'usage, pas seulement de la nature de la donnée.

Attention — Une donnée peut révéler indirectement une information sensible sans en avoir l'apparence. Un nom d'association ou un régime alimentaire déclaré en cantine peuvent trahir une conviction religieuse ou un état de santé. Le régime de l'article 9 s'applique dès lors que le traitement révèle l'une de ces catégories.

Le principe : un traitement interdit par défaut

Le traitement des données sensibles est interdit par principe. C'est la règle de base posée par l'article 9 du RGPD, et elle inverse la logique habituelle. Pour une donnée ordinaire, vous cherchez une base légale valable. Pour une donnée sensible, vous partez d'une interdiction, et vous devez démontrer qu'une exception s'applique.

Cette interdiction protège les personnes contre les usages les plus intrusifs. Elle évite qu'une entreprise constitue, sans garde-fou, des fichiers sur la santé, les opinions ou les croyances de ses clients ou de ses salariés. À défaut d'exception, le traitement est illicite, quelles que soient les précautions prises par ailleurs.

Conseil — Avant de collecter une donnée de santé, une photo destinée à un contrôle d'accès ou toute information de l'article 9, posez-vous d'abord une question : ai-je vraiment besoin de cette donnée pour ma finalité ? Souvent, la réponse la plus sûre est de ne pas la collecter. Si vous avez un doute sur un traitement en cours, prenez contact : un premier échange suffit à cadrer la situation.

Les exceptions qui autorisent le traitement

Le RGPD prévoit une série d'exceptions qui lèvent l'interdiction et permettent, sous conditions, de traiter des données sensibles. Chacune vise une situation précise : vous devez pouvoir désigner celle sur laquelle vous vous appuyez.

Les exceptions les plus utiles en pratique sont les suivantes :

• Consentement explicite au traitement de ces données précises.
• Obligations en droit du travail et de la protection sociale.
• Sauvegarde des intérêts vitaux quand la personne ne peut consentir.
• Activités d'un organisme politique, religieux ou syndical, pour ses membres.
• Données manifestement rendues publiques par la personne concernée.
• Constatation, exercice ou défense d'un droit en justice.
• Motifs d'intérêt public dans le domaine de la santé ou gestion des soins.

Le consentement explicite est plus exigeant qu'un consentement ordinaire : il doit être formulé de façon spécifique et sans ambiguïté pour ces données sensibles précises. Une case à cocher noyée dans des conditions générales ne suffit pas à le caractériser.

Bon à savoir — Trouver une exception applicable ne dispense pas des autres obligations du RGPD. La finalité, la minimisation, la durée de conservation et la sécurité continuent de s'appliquer. L'exception lève l'interdiction de principe, elle ne remplace pas la conformité d'ensemble.

Le cas des données de santé

Les données de santé sont la catégorie sensible la plus fréquemment rencontrée par les entreprises. Le RGPD les définit largement : toute information relative à l'état physique ou mental d'une personne, passé, présent ou futur, y compris les données révélées par un test ou un examen.

Cette définition dépasse le seul dossier médical. Un arrêt de travail transmis aux ressources humaines, une déclaration d'inaptitude ou un aménagement de poste pour raison de santé relèvent tous de cette catégorie, souvent sans que l'entreprise en ait pleinement conscience.

Le secteur de la santé et le secteur social en manipulent à grande échelle, ce qui appelle une vigilance particulière. L'hébergement, la gestion des accès et la traçabilité y sont des points de contrôle centraux. Une démarche de privacy by design, qui intègre la protection dès la conception d'un projet, réduit fortement le risque de mauvaise surprise ultérieure.

Conseil — Si votre activité repose sur des données de santé, ne laissez pas la conformité en fin de projet. Cadrez la base légale, la sécurité et l'hébergement dès le départ. Un DPO externe permet de tenir cet effort dans la durée sans mobiliser une ressource interne à plein temps. Demandez un devis pour évaluer votre situation.

Les précautions renforcées à mettre en place

Traiter des données sensibles impose des précautions plus strictes que pour des données ordinaires, à la mesure du risque qu'elles font peser sur les personnes. Trois réflexes structurent cette démarche.

D'abord, l'analyse d'impact. Un traitement de données sensibles à grande échelle figure parmi les cas où une analyse d'impact sur la protection des données est le plus souvent requise. Elle sert à identifier les risques et à les réduire avant de démarrer le traitement.

Ensuite, la sécurité. Le niveau de protection doit être proportionné à la sensibilité des données : chiffrement, cloisonnement des accès, journalisation, contrôle des prestataires. Une fuite de données sensibles étant plus grave, la préparation à une violation de données est d'autant plus importante.

Enfin, la documentation. Chaque traitement de données sensibles doit apparaître dans votre registre des traitements, avec la catégorie, la finalité, la base légale et l'exception mobilisée. C'est cette traçabilité qui démontre votre conformité le jour d'un contrôle.

Attention — L'usage de l'intelligence artificielle sur des données sensibles combine deux régimes. Le RGPD encadre la donnée, tandis que la conformité à l'AI Act encadre le système qui la traite. Un scoring de santé ou une reconnaissance biométrique relèvent souvent des deux à la fois.

FAQ

Qu'est-ce qu'une donnée sensible au sens du RGPD ?

Une donnée sensible est une information qui relève des catégories particulières listées à l'article 9 du RGPD : santé, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle, origine, données génétiques ou biométriques. Son traitement est interdit par principe, sauf exception prévue par le texte.

Quelles sont les catégories de données sensibles ?

L'article 9 vise l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données de santé, la vie ou l'orientation sexuelle, les données génétiques et les données biométriques d'identification. La liste est fermée : une donnée hors de ces catégories ne relève pas de ce régime.

Peut-on traiter des données sensibles ?

Oui, mais seulement si une exception de l'article 9 s'applique. Les cas les plus courants sont le consentement explicite de la personne, une obligation en droit du travail, la sauvegarde d'intérêts vitaux ou la gestion des soins de santé. À défaut d'exception applicable, le traitement reste interdit, même avec de bonnes intentions.

Le consentement suffit-il pour une donnée sensible ?

Le consentement peut suffire, mais il doit être explicite. Il est plus exigeant qu'un consentement ordinaire : clair, spécifique à ces données précises et sans ambiguïté. Une simple case cochée dans des conditions générales ne le caractérise pas, et il doit pouvoir être retiré aussi facilement qu'il a été donné.

Les données biométriques sont-elles toujours sensibles ?

Non. Une donnée biométrique n'est sensible que lorsqu'elle sert à identifier une personne de manière unique, comme une empreinte ou la reconnaissance faciale utilisées pour un contrôle d'accès. Une photo simple, sans procédé technique d'identification, ne relève pas automatiquement du régime de l'article 9.

Une analyse d'impact est-elle obligatoire pour les données sensibles ?

Souvent, oui. Un traitement de données sensibles à grande échelle fait partie des situations où une analyse d'impact sur la protection des données est généralement requise. Elle n'est pas systématique pour tout traitement, mais elle est fortement recommandée dès que le risque pour les personnes est élevé.

Le numéro de sécurité sociale est-il une donnée sensible ?

Le numéro de sécurité sociale ne figure pas dans les catégories particulières de l'article 9. Il obéit toutefois à un encadrement propre et son usage reste strictement limité. On le traite avec des précautions renforcées, même s'il ne relève pas des données sensibles au sens strict.

Conclusion

Les données sensibles ne se traitent pas comme les autres. Elles relèvent d'un régime d'interdiction de principe, assorti d'exceptions précises et de précautions renforcées. Reconnaître ces catégories, identifier l'exception qui vous autorise à agir et documenter votre démarche, c'est déjà réduire fortement votre risque juridique.

La suite dépend de votre situation. Si vous traitez de la santé, de la biométrie ou toute autre catégorie particulière, la mise en conformité RGPD permet de sécuriser ces traitements dans le bon ordre, sans budget démesuré. Prenez contact avec nos équipes pour cadrer les prochaines étapes, ou parcourez le blog et la page à propos du cabinet pour mieux nous connaître.

Pour aller plus loin, consultez l'article 9 du RGPD sur EUR-Lex et les ressources officielles de la CNIL.

L'équipe mydari

Tous les articles