Lexique > Catégories particulières de données

Lexique IT

Données sensibles au sens du RGPD : définition, liste et conditions de traitement

Au sens du RGPD, les données sensibles correspondent aux « catégories particulières de données à caractère personnel » visées par l’article 9.

Données de santé, opinions politiques, origine raciale ou ethnique, appartenance syndicale ou certaines données biométriques : leur traitement est interdit par principe et n’est autorisé que dans des situations précisément encadrées. Les entreprises doivent donc savoir les identifier avant de les collecter ou de les utiliser.

Pour aller plus loin : découvrez les étapes à suivre pour mettre votre entreprise en conformité avec le RGPD.

Données sensibles RGPD : ce qu’il faut retenir

Le RGPD encadre plus strictement certaines données, notamment celles relatives à la santé, aux opinions politiques, à l’origine raciale ou ethnique, aux convictions religieuses, à l’appartenance syndicale ou à la vie sexuelle.
Leur traitement est en principe interdit, sauf dans les situations prévues par le RGPD.
Une entreprise doit identifier à la fois la base légale du traitement et la condition prévue par l’article 9 permettant le traitement des données concernées.
Une information apparemment neutre peut devenir sensible si son analyse ou son croisement avec d’autres données permet de révéler une information protégée.
Leur traitement suppose une collecte limitée au nécessaire, une documentation adaptée et des mesures de sécurité proportionnées aux risques.

Quelles données sont considérées comme sensibles par le RGPD ?

L’article 9 du RGPD classe comme données sensibles plusieurs catégories d’informations liées à l’identité, aux convictions, à la santé ou à la vie privée d’une personne.

Catégorie	Exemple en entreprise
Origine raciale ou ethnique	Information révélant directement ou indirectement l’origine ethnique d’une personne
Opinions politiques	Information faisant apparaître une opinion ou une appartenance politique
Convictions religieuses ou philosophiques	Information relative aux croyances ou convictions d’une personne
Appartenance syndicale	Donnée faisant apparaître l’adhésion à une organisation syndicale
Données génétiques	Informations issues notamment de l’analyse d’un échantillon biologique ou de l’ADN
Données biométriques utilisées pour identifier une personne de manière unique	Empreinte digitale ou gabarit facial utilisé pour authentifier une personne
Données concernant la santé	Diagnostic, pathologie, handicap ou information révélant l’état de santé physique ou mentale
Données concernant la vie sexuelle ou l’orientation sexuelle	Informations relatives à la vie sexuelle ou à l’orientation sexuelle d’une personne

Leur traitement est en principe interdit. Le RGPD prévoit toutefois plusieurs exceptions, dans des situations précisément encadrées.

Point RGPD

« Les données à caractère personnel qui sont, par nature, particulièrement sensibles du point de vue des libertés et des droits fondamentaux méritent une protection spécifique, car le contexte dans lequel elles sont traitées pourrait engendrer des risques importants pour ces libertés et droits » (Considérant 51 du RGPD)

Une information peut-elle devenir sensible par déduction ?

Oui. Une information apparemment neutre peut devenir sensible si elle permet de révéler une information protégée.

Dans un arrêt du 1er août 2022, la Cour de justice de l’Union européenne a considéré que des informations apparemment neutres pouvaient relever de l’article 9 lorsqu’elles permettent, par déduction ou par recoupement, de révéler une donnée sensible, comme l’orientation sexuelle d’une personne (CJUE, 1er août 2022, C-184/20).

Une entreprise doit donc regarder au-delà de chaque donnée prise isolément et vérifier ce que leur croisement permet de révéler.

Quelles données sont souvent considérées à tort comme sensibles au sens du RGPD ?

Certaines données appellent des précautions importantes sans relever, en elles-mêmes, des catégories particulières prévues par l’article 9 du RGPD.

Donnée	Donnée sensible au sens du RGPD ?	Particularité
Photographie classique	Non, du seul fait qu’il s’agit d’une photographie	Une photographie peut toutefois relever de l’article 9 lorsqu’un traitement biométrique permet d’identifier une personne de manière unique ou lorsqu’elle révèle une autre donnée sensible.
Coordonnées bancaires	Non	Elles restent des données personnelles qui nécessitent des mesures de protection adaptées.
Géolocalisation	Non, sauf si le traitement révèle une donnée sensible	L’analyse des déplacements peut notamment permettre de déduire des convictions religieuses, des opinions politiques ou des informations relatives à la santé.
Numéro de sécurité sociale (NIR)	Non	Son utilisation fait l’objet d’un encadrement spécifique en France et nécessite des précautions renforcées.
Condamnations pénales et infractions	Non	Elles relèvent d’un régime distinct prévu par l’article 10 du RGPD.

Une donnée peut donc nécessiter une protection élevée sans relever du régime des données sensibles. À l’inverse, le croisement de plusieurs informations peut révéler une donnée sensible qui n’apparaissait pas au départ.

Le considérant 51 du RGPD précise ainsi qu’une photographie n’est pas automatiquement une donnée biométrique relevant des catégories particulières. Elle entre dans ce régime lorsqu’un traitement technique spécifique permet l’identification ou l’authentification unique d’une personne.

Les données relatives aux condamnations pénales et aux infractions suivent, quant à elles, un régime distinct prévu par l’article 10 du RGPD.

Dans quels cas le RGPD autorise-t-il le traitement de données sensibles ?

Le principe est l’interdiction du traitement. L’article 9 du RGPD prévoit toutefois dix exceptions permettant, sous certaines conditions, de traiter ces données.

Chacune de ces exceptions répond à des conditions propres :

Le consentement explicite de la personne : la personne concernée a donné son consentement explicite pour une ou plusieurs finalités déterminées, sous réserve des situations dans lesquelles le droit applicable exclut cette possibilité.
Le droit du travail et la protection sociale : le traitement est nécessaire pour respecter des obligations ou exercer des droits en matière de droit du travail, de sécurité sociale ou de protection sociale, dans les conditions prévues par les textes applicables ou par une convention collective comportant des garanties appropriées.
La sauvegarde des intérêts vitaux : le traitement est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d’une autre personne physique lorsque la personne concernée est dans l’incapacité physique ou juridique de donner son consentement.
Les activités de certains organismes sans but lucratif : une fondation, une association ou un autre organisme sans but lucratif poursuivant une finalité politique, philosophique, religieuse ou syndicale peut, sous certaines conditions, traiter les données de ses membres, anciens membres ou de certaines personnes entretenant des contacts réguliers avec lui.
Les données manifestement rendues publiques par la personne : cette exception peut s’appliquer lorsque la personne concernée a elle-même manifestement rendu publiques les données en question.
La constatation, l’exercice ou la défense d’un droit en justice : le traitement peut être nécessaire dans le cadre d’un contentieux ou lorsqu’une juridiction agit dans l’exercice de sa fonction juridictionnelle.
Un motif d’intérêt public important : le traitement peut être autorisé lorsqu’un motif d’intérêt public important le justifie et qu’un texte de l’Union européenne ou d’un État membre en prévoit les conditions et les garanties.
La santé et la protection sociale : certaines données sensibles peuvent être traitées notamment pour la médecine préventive ou du travail, le diagnostic médical, la prise en charge sanitaire ou sociale ou la gestion des systèmes de soins.
La santé publique : le traitement peut répondre à un intérêt public dans le domaine de la santé publique, par exemple en présence d’une menace sanitaire grave ou pour garantir la qualité et la sécurité des soins, des médicaments ou des dispositifs médicaux.
L’archivage, la recherche ou les statistiques : le RGPD autorise certains traitements nécessaires à des fins archivistiques dans l’intérêt public, de recherche scientifique ou historique ou à des fins statistiques, sous réserve de garanties adaptées.

Avant d’utiliser les données, l’entreprise doit vérifier qu’elle entre réellement dans l’une de ces situations. Elle doit également identifier une base légale au titre de l’article 6 du RGPD : une exception de l’article 9 ne suffit pas, à elle seule, à rendre le traitement licite. L’intérêt pratique du traitement et les mesures de sécurité mises en place ne peuvent, à eux seuls, justifier l’utilisation de données sensibles.

Quelle base légale faut-il pour traiter des données sensibles ?

Le traitement de données sensibles repose sur deux niveaux d’analyse juridique.

L’entreprise doit d’abord identifier une base légale parmi celles prévues par l’article 6 du RGPD. Elle doit ensuite vérifier qu’une des exceptions de l’article 9, paragraphe 2, permet de traiter la catégorie particulière de données concernée.

Le raisonnement peut être résumé ainsi :

base légale au titre de l’article 6 + exception applicable au titre de l’article 9.

La CNIL rappelle le caractère cumulatif de ces deux conditions. Il faut donc raisonner au cas par cas, selon la finalité du traitement et la manière dont les données seront utilisées.

Le consentement est-il obligatoire pour traiter des données sensibles ?

Le consentement explicite est une possibilité parmi plusieurs. D’autres situations permettent de traiter des données sensibles sans s’appuyer sur le consentement.

Selon le contexte, le traitement peut par exemple être justifié par des obligations relevant du droit du travail, par la sauvegarde d’intérêts vitaux, par l’exercice d’un droit en justice, par un motif d’intérêt public important ou par certaines finalités de santé publique, de soins ou de recherche.

Lorsque l’entreprise s’appuie sur le consentement, celui-ci doit être libre, spécifique, éclairé, univoque et explicite.

Quelles obligations une entreprise doit-elle respecter lorsqu’elle traite des données sensibles ?

Une fois le traitement juridiquement possible, l’entreprise reste tenue de respecter l’ensemble des principes du RGPD.

Quatre points doivent être vérifiés en priorité : la minimisation, la documentation, la sécurité et l’évaluation des risques.

Collecter uniquement les données réellement nécessaires

Chaque donnée collectée doit répondre à une finalité déterminée, explicite et légitime.

Le principe de minimisation prévu par l’article 5 du RGPD impose également de limiter la collecte à ce qui est réellement nécessaire. L’entreprise doit donc pouvoir expliquer pourquoi chaque donnée sensible est utile au traitement envisagé.

Documenter le traitement et son fondement juridique

L’entreprise doit conserver la trace du raisonnement juridique qui justifie le traitement.

Cette documentation doit préciser la finalité, la base légale retenue, l’exception applicable, les destinataires et la durée de conservation.

Elle doit être mise à jour si l’usage des données évolue, notamment lorsqu’un outil d’intelligence artificielle permet de les croiser ou d’en tirer de nouvelles informations.

Protéger les données sensibles avec des mesures de sécurité adaptées

L’article 32 du RGPD impose un niveau de sécurité adapté aux risques présentés par le traitement.

Les mesures varient selon les risques : contrôle des accès, chiffrement, pseudonymisation, traçabilité ou procédures de gestion des incidents.

Point jurisprudence

La CNIL a pu rappeler au ministère de l’Intérieur « que l’article 99 de la loi Informatique et Libertés précité impose une obligation de sécurité renforcée aux responsables de traitement lorsque ces derniers traitent des données dites sensibles au sens de l’article 6 du même texte, par exemple les empreintes digitales et palmaires, qui sont « des données biométriques aux fins d’identifier une personne physique de manière unique ». (CNIL, 24 septembre 2021, N°SAN-2021-016)

La CNIL a ainsi considéré qu’un simple identifiant et un mot de passe n’offraient pas une protection suffisante dans les circonstances de l’espèce, compte tenu notamment de la sensibilité des données traitées, des conséquences d’un accès illégitime et de la nécessité d’une journalisation stricte.

Cette décision rappelle l’importance d’adapter les mesures de sécurité à la nature des données traitées et aux risques encourus par les personnes concernées.

Quand faut-il réaliser une AIPD pour des données sensibles ?

Une analyse d’impact relative à la protection des données, ou AIPD, devient obligatoire lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.

Le traitement de données sensibles constitue l’un des critères à prendre en compte dans l’évaluation du risque.

Il faut également tenir compte du volume de données, de leur éventuel croisement, des personnes concernées et des technologies utilisées.

Quelles sont les sanctions en cas de traitement irrégulier de données sensibles ?

L’utilisation de données sensibles sans fondement juridique valable peut exposer l’entreprise à un contrôle et à des sanctions de la CNIL.

Pour les manquements les plus graves aux principes du RGPD et aux règles relatives aux catégories particulières de données, l’article 83 prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.

Le montant dépend ensuite de la gravité du manquement, de sa durée et des circonstances de chaque dossier.

Quel accompagnement juridique pour le traitement de données sensibles ?

Le Cabinet Bouchara & Avocats accompagne les entreprises et organismes qui collectent ou utilisent des données sensibles afin de sécuriser leurs traitements et leur conformité au RGPD.

Nous intervenons notamment pour :

qualifier les données concernées et déterminer si elles relèvent de l’article 9 du RGPD ;
identifier la base légale du traitement et l’exception permettant de traiter les données sensibles ;
analyser la faisabilité juridique d’un nouveau traitement de données à caractère personnel ;
documenter les traitements et déterminer si une analyse d’impact relative à la protection des données (AIPD) est nécessaire ;
définir les garanties contractuelles, organisationnelles et de sécurité adaptées aux risques du traitement ;
accompagner l’entreprise dans ses échanges avec la CNIL ou en cas de contrôle.

Le Cabinet intervient également en qualité de Délégué à la Protection des Données (DPO) externe auprès de responsables de traitement et de sous-traitants.

FAQ

Une photo est-elle une donnée sensible au sens du RGPD ?

Une photographie n’est pas en elle-même une donnée biométrique relevant de l’article 9. Elle peut toutefois relever des catégories particulières de données lorsqu’elle fait l’objet d’un traitement technique spécifique permettant d’identifier ou d’authentifier une personne de manière unique. Son contenu peut également révéler d’autres informations sensibles.

Le numéro de sécurité sociale est-il une donnée sensible au sens du RGPD ?

Le numéro de sécurité sociale, ou NIR, ne fait pas partie, en tant que tel, des catégories particulières de données énumérées à l’article 9. Son utilisation est encadrée en France. Son caractère directement identifiant et les informations auxquelles il peut être rattaché justifient des précautions spécifiques.

Les données relatives aux condamnations pénales sont-elles des données sensibles ?

Les données relatives aux condamnations pénales et aux infractions relèvent d’un régime distinct de celui des catégories particulières de données. L’article 10 du RGPD encadre spécifiquement leur traitement. Celui-ci doit intervenir sous le contrôle de l’autorité publique ou dans les conditions prévues par le droit de l’Union européenne ou d’un État membre, avec les garanties appropriées.

Sources

Règlement (UE) 2016/679 — articles 5, 6, 9, 10, 32, 35 et 83 ; considérant 51 ;
CJUE, 1er août 2022, C-184/20 ;
CNIL, SAN-2021-016, 24 septembre 2021.