Que sont les données sensibles et quand peut-on les traiter ?

Pourquoi le RGPD protège-t-il davantage certaines données ?

Certaines informations touchent à l'intimité ou aux libertés fondamentales d'une personne : leur divulgation ou leur utilisation peut entraîner des discriminations à l'embauche, une exclusion d'une assurance, des pressions politiques ou religieuses, voire des risques pour la sécurité physique. Le règlement les appelle « catégories particulières de données à caractère personnel » ; l'usage courant les désigne comme données sensibles. Leur régime est plus strict que celui des autres données : le principe est l'interdiction, et l'organisme qui souhaite les traiter doit à la fois disposer d'une base légale classique de l'article 6 et entrer dans l'une des exceptions de l'article 9.

La liste officielle de l'article 9

Le paragraphe 1 de l'article 9 interdit le traitement des données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne de manière unique, des données concernant la santé et des données concernant la vie sexuelle ou l'orientation sexuelle. La liste est limitative : une donnée financière, un casier de retards de paiement ou une localisation ne sont pas des données sensibles au sens de l'article 9, même si elles méritent une grande prudence.

Des données sensibles « par déduction »

Une information banale peut devenir sensible selon ce qu'elle révèle. La Cour de justice de l'Union a jugé, dans un arrêt du 1er août 2022 (affaire C-184/20), que la publication du nom du conjoint ou du partenaire d'une personne pouvait révéler indirectement son orientation sexuelle et relevait donc de l'article 9. De même, l'historique d'achats d'une pharmacie en ligne, les absences pour rendez-vous médicaux ou l'adhésion à une association de patients peuvent révéler un état de santé. Il faut donc raisonner sur ce que les données permettent de déduire, et pas seulement sur leur intitulé.

Les dix exceptions qui permettent de les traiter

L'interdiction n'est pas absolue. Le paragraphe 2 de l'article 9 énumère dix situations dans lesquelles le traitement devient possible, chacune devant être interprétée strictement. Les plus fréquentes dans la vie des entreprises et des associations sont le consentement explicite, les obligations du droit du travail et de la protection sociale, les activités des associations à but non lucratif auprès de leurs membres, les données manifestement rendues publiques par la personne, la constatation ou la défense de droits en justice, et la médecine préventive ou les soins.

Le consentement explicite, une exigence renforcée

Le consentement prévu pour les données sensibles doit être explicite, c'est-à-dire exprimé par une déclaration ou un geste actif dédié : case à cocher spécifique non pré-cochée, signature, mention écrite. Il doit être libre, ce qui exclut en pratique le consentement d'un salarié envers son employeur dans la plupart des cas, en raison du déséquilibre de la relation. Le droit national peut aussi interdire de lever l'interdiction par le consentement pour certains usages.

Les règles propres à la France

L'article 9 laisse aux États membres une marge pour maintenir ou introduire des conditions supplémentaires, en particulier pour les données génétiques, biométriques et de santé. La loi Informatique et Libertés et le Code de la santé publique encadrent ainsi l'hébergement des données de santé, qui doit être confié à un hébergeur certifié lorsqu'il est externalisé (article L. 1111-8 du Code de la santé publique), les recherches dans le domaine de la santé, qui suivent des méthodologies de référence ou nécessitent une autorisation, et la biométrie sur le lieu de travail, pour laquelle la CNIL a publié un règlement type. Le guide du RGPD pour les professions de santé détaille ces obligations pour les cabinets et les centres de soins.

Les données d'infraction

Les données relatives aux condamnations pénales, aux infractions et aux mesures de sûreté relèvent de l'article 10 du RGPD et de l'article 46 de la loi Informatique et Libertés : seules certaines catégories d'acteurs peuvent les traiter, comme les juridictions, les auxiliaires de justice pour la défense de leurs clients ou les personnes morales victimes pour préparer une action en justice. Un employeur peut demander un extrait de casier judiciaire uniquement lorsqu'un texte l'autorise pour le poste concerné, et il doit se limiter à en prendre connaissance sans en conserver de copie.

Quelles précautions concrètes prendre ?

Traiter des données sensibles fait presque toujours partie des critères qui imposent une analyse d'impact relative à la protection des données, notamment lorsque le traitement est à grande échelle, et peut rendre obligatoire la désignation d'un délégué à la protection des données lorsque c'est l'activité de base de l'organisme. Au quotidien, quelques réflexes réduisent fortement les risques : limiter le nombre de personnes habilitées, séparer ces données des fichiers courants, chiffrer les supports, tracer les consultations, prévoir des durées de conservation courtes et former les équipes. Le guide de l'analyse d'impact (AIPD) explique comment mener cette évaluation.

Le cas fréquent du handicap et des arrêts de travail

Un employeur gère nécessairement des données de santé : arrêts de travail, accidents du travail, reconnaissance de la qualité de travailleur handicapé, aménagements de poste. Ces traitements reposent sur ses obligations légales et sur l'exception du droit du travail. Il doit toutefois s'en tenir à ce que la loi lui permet de connaître : le motif médical d'un arrêt n'a pas à figurer dans le dossier du salarié, et les informations détaillées restent couvertes par le secret médical du médecin du travail. Les managers n'ont besoin que de connaître la durée de l'absence et les éventuelles restrictions d'aptitude.

Les données de santé, une catégorie très large

La notion de données de santé est interprétée largement par le considérant 35 du RGPD et par la CNIL. Elle couvre les informations collectées lors de l'inscription à des soins ou de leur prestation, les numéros ou symboles attribués à une personne pour l'identifier à des fins de santé, les résultats d'examens et d'analyses, les informations sur une maladie, un handicap, un risque de maladie, les antécédents médicaux ou l'état physiologique, quelle qu'en soit la source. Une donnée devient aussi une donnée de santé lorsqu'elle est croisée avec d'autres pour en déduire un état de santé, ou lorsqu'elle est utilisée dans un contexte médical. Le poids d'une personne, isolé, n'est pas forcément une donnée de santé ; enregistré dans une application de suivi d'un régime prescrit par un médecin, il le devient. Les objets connectés de bien-être, les applications de méditation ou de suivi du cycle menstruel traitent ainsi fréquemment des données de santé sans toujours le dire.

Les données de santé au travail

Dans l'entreprise, les données de santé apparaissent dans les arrêts de travail, les déclarations d'accident du travail, les avis d'aptitude ou d'inaptitude, les demandes d'aménagement de poste et la reconnaissance de la qualité de travailleur handicapé. L'employeur peut les traiter dans la stricte mesure de ses obligations légales, mais il n'a pas à connaître le diagnostic ni le motif médical. Les informations détaillées relèvent du médecin du travail, tenu au secret. Un manager doit seulement savoir que le salarié est absent, pour quelle durée, et s'il existe des restrictions d'aptitude à respecter.

Les données de santé dans l'assurance et la mutuelle

Les organismes d'assurance et les mutuelles traitent des données de santé pour gérer les contrats et les remboursements, dans un cadre fixé par la loi et par des codes de conduite sectoriels. Le questionnaire de santé pour un emprunt immobilier a par ailleurs été supprimé en France pour certains prêts depuis la loi du 28 février 2022, ce qui illustre la volonté du législateur de limiter l'usage de ces informations.

La biométrie, entre commodité et risque

Les données biométriques sont définies à l'article 4 comme les données résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne, qui permettent ou confirment son identification unique, comme les images faciales ou les empreintes digitales. Elles ne sont sensibles au sens de l'article 9 que lorsqu'elles sont traitées aux fins d'identifier une personne de manière unique : une photo d'identité stockée dans un dossier n'est pas en soi une donnée biométrique, mais le gabarit numérique extrait de cette photo pour la reconnaissance faciale l'est. La biométrie est attrayante parce qu'on ne peut ni perdre ni oublier son doigt ou son visage ; c'est précisément ce qui la rend risquée, car on ne peut pas non plus en changer en cas de fuite.

La biométrie sur le lieu de travail

La CNIL a adopté en 2019 un règlement type relatif au contrôle d'accès biométrique sur les lieux de travail. Il autorise ces dispositifs seulement lorsque l'employeur justifie d'un besoin de sécurité particulier, par exemple pour l'accès à un laboratoire sensible ou à une salle des coffres, et impose de privilégier les dispositifs où le gabarit biométrique reste sous le contrôle du salarié, sur une carte ou un badge qu'il détient. La pointeuse biométrique pour contrôler les horaires de tous les salariés est, en principe, disproportionnée.

La reconnaissance faciale

La reconnaissance faciale dans l'espace public est strictement encadrée. Le règlement européen sur l'intelligence artificielle interdit, depuis le 2 février 2025, la constitution de bases de données de reconnaissance faciale par moissonnage non ciblé d'images et, sauf exceptions très limitées, l'identification biométrique à distance en temps réel dans l'espace public à des fins répressives. La CNIL a par ailleurs sanctionné la société Clearview AI en 2022 d'une amende de 20 millions d'euros pour avoir collecté des milliards de photos en ligne afin d'alimenter un moteur de reconnaissance faciale.

Opinions, religion et appartenance syndicale

Les opinions politiques, les convictions religieuses ou philosophiques et l'appartenance syndicale font l'objet d'une protection particulière en raison de l'histoire européenne, marquée par les fichages politiques et religieux. Un employeur ne peut pas les collecter ; une entreprise ne peut pas segmenter ses clients selon leurs convictions déduites de leurs achats ; un parti politique ou une église ne peut traiter ces informations que pour ses membres et ses contacts réguliers, sans les communiquer à l'extérieur sans consentement. Les fichiers de prospection politique font l'objet de recommandations spécifiques de la CNIL, notamment en période électorale, et l'achat de fichiers commerciaux à des fins de propagande électorale est encadré.

La gestion syndicale dans l'entreprise

Les informations relatives aux mandats de représentants du personnel sont connues de l'employeur, qui doit les gérer avec une grande discrétion : il ne peut pas les utiliser pour discriminer, et l'accès aux listes d'adhérents syndicaux lui est interdit. Les syndicats eux-mêmes sont responsables du fichier de leurs adhérents et doivent le protéger comme une donnée sensible.

Les données génétiques

Les données génétiques résultent de l'analyse d'un échantillon biologique et renseignent sur les caractéristiques héréditaires ou acquises d'une personne. Elles présentent une particularité : elles concernent aussi les membres de la famille biologique. En France, les tests génétiques sont strictement encadrés par le Code civil et le Code de la santé publique ; les tests génétiques « récréatifs » vendus en ligne pour connaître ses origines sont interdits sur le territoire, même si leur commande à l'étranger reste difficile à empêcher. Une entreprise qui proposerait de tels services s'exposerait à des sanctions pénales et administratives.

Sécuriser un traitement de données sensibles

Au-delà des mesures habituelles, un traitement de données sensibles appelle des précautions renforcées que la CNIL détaille dans son guide de la sécurité : authentification forte pour tous les accès, chiffrement des données au repos et en transit, journalisation de chaque consultation avec contrôle régulier des traces, cloisonnement des bases, pseudonymisation lorsque l'identité n'est pas nécessaire, procédure de gestion des incidents testée, sensibilisation spécifique des personnes habilitées et engagement de confidentialité. En santé, l'hébergement chez un prestataire certifié, l'usage de messageries sécurisées et l'identification électronique des professionnels complètent ce dispositif. Ces mesures ne sont pas réservées aux grandes structures : un petit cabinet peut chiffrer ses postes, activer la double authentification et restreindre les accès sans investissement important.

L'analyse d'impact presque systématique

Le traitement de données sensibles à grande échelle figure dans la liste des cas où l'article 35 impose une analyse d'impact relative à la protection des données. La liste publiée par la CNIL y ajoute notamment les traitements de données de santé mis en œuvre par les établissements de santé ou médico-sociaux, les traitements de données génétiques de personnes vulnérables et les dispositifs de contrôle d'accès biométrique. En pratique, dès qu'un projet repose sur des données sensibles, il est prudent de mener cette analyse, qui oblige à décrire précisément les flux, à justifier la nécessité de chaque donnée et à documenter les mesures de sécurité. Elle constitue aussi une pièce utile pour dialoguer avec le délégué à la protection des données, dont la désignation est obligatoire lorsque l'activité de base consiste à traiter de telles données à grande échelle.

Une donnée sensible déduite reste sensible

La Cour de justice a précisé, dans l'arrêt OT du 1er août 2022 (C-184/20), qu'une donnée permettant de déduire indirectement une information sensible relève de l'article 9. Dans cette affaire, la publication du nom du conjoint ou partenaire d'un responsable public permettait de déduire son orientation sexuelle. Le raisonnement vaut pour un historique d'achats qui révèle une grossesse, pour les horaires de fréquentation d'un lieu de culte ou pour l'abonnement à une association de patients. Les organismes qui profilent leurs clients doivent donc vérifier que leurs segments ne reconstituent pas, de fait, des catégories sensibles.

Le numéro de sécurité sociale

Le NIR, numéro d'inscription au répertoire, n'est pas une donnée sensible au sens de l'article 9, mais il fait l'objet d'un encadrement particulier en France. Son utilisation est limitée par décret à des secteurs précis, comme la sphère sociale, la santé, la paie ou certaines démarches fiscales. Un employeur peut l'utiliser pour les déclarations sociales, mais pas comme identifiant interne de ses salariés, et un commerçant ne peut pas le demander à ses clients. Sa présence dans un fichier doit être justifiée, limitée aux personnes habilitées et protégée par des mesures de sécurité adaptées, car il constitue un identifiant unique et stable tout au long de la vie.