Protection des données sensibles : définition, catégories et obligations RGPD
Une donnée sensible est une catégorie particulière de données personnelles, protégée par l’article 9.1 du RGPD.
- Elle révèle des informations intimes sur une personne.
- Sa divulgation risque une discrimination ou une atteinte aux libertés.
- Le traitement est en principe interdit, sauf exceptions.
- La liste de l’article 9.1 est limitativement énumérée.
- La CJUE d’août 2022 élargit selon les circonstances.
- Les données pénales relèvent de l’article 10, régime distinct.
Qu’est-ce qu’une donnée sensible selon le RGPD et la CNIL ?
Définition juridique et catégories particulières de l’article 9.1
Une donnée sensible est une catégorie particulière de données personnelles qui révèle des informations intimes sur une personne. Le RGPD consacre cette notion à son article 9.1, qui dresse la liste des données dont le traitement est en principe interdit. La CNIL reprend cette définition et précise qu’il s’agit de données dont la collecte ou la divulgation présente un risque élevé d’discrimination ou d’atteinte aux libertés.
Ce régime protecteur existe depuis la directive 95/46/CE du 24 octobre 1995, dont l’article 8 encadrait déjà ces données. La loi Informatique et Libertés du 6 janvier 1978, en son article 6, pose les mêmes principes en droit français. Le RGPD a toutefois élargi la catégorie à compter de son entrée en application.
Origine raciale, opinions politiques, santé et orientation sexuelle
L’article 9.1 énumère limitativement les données concernées. La liste officielle comprend :
- Origine raciale ou ethnique de la personne concernée
- Opinions politiques, y compris l’appartenance à un parti
- Convictions religieuses ou philosophiques
- Appartenance syndicale, encadrée de manière stricte
- Données génétiques, issues d’analyses héréditaires
- Données biométriques, lorsque utilisées pour identifier une personne
- Données de santé, physiques ou mentales
- Vie sexuelle et orientation sexuelle
Cette liste n’est pas extensible au-delà de ce que prévoit le texte. Un arrêt de la CJUE d’août 2022 a toutefois retenu qu’une simple déclaration d’intérêts pouvait, selon les circonstances, révéler une donnée sensible.
Quelles sont les catégories et exemples concrets de données sensibles ?
Les deux grandes catégories : données révélatrices et données d’infraction
Pour s’y retrouver, on distingue généralement les données strictement sensibles, listées à l’article 9.1 du RGPD (santé, origine raciale, opinions politiques, religion, orientation sexuelle), et les données pénales, qui forment une catégorie distincte visée à l’article 10. Ces dernières concernent les infractions, condamnations et mesures de sûreté : elles ne sont pas « sensibles » au sens strict, mais elles bénéficient d’un encadrement tout aussi rigoureux.
Autre cas souvent mal compris : le NIR (numéro de sécurité sociale). Il n’est pas une donnée de santé par nature, mais le considérant 35 du RGPD impose de le traiter comme tel, car il peut servir à identifier une personne de façon unique. Un simple identifiant administratif bascule donc dans la protection renforcée.
- Données strictement sensibles : énumérées à l’article 9.1 du RGPD
- Données pénales : infractions et condamnations, encadrées à l’article 10
- NIR comme donnée santé : assimilé par le considérant 35 du RGPD
- Qualification par destination : une donnée banale pour une finalité sensible
- Qualification par croisement : le recoupement révèle une information sensible
- Arrêt CJUE d’août 2022 : une déclaration d’intérêts peut devenir sensible
Exemples pratiques par secteur
En santé, un diagnostic médical, un compte rendu d’examen ou la mention d’un handicap sont des données sensibles. En ressources humaines, l’appartenance syndicale d’un salarié ou ses convictions religieuses le sont également. Dans le secteur associatif, une liste d’adhérents précisant leurs opinions politiques tombe sous le même régime.
La qualification peut aussi dépendre de la finalité : un nom et un prénom n’ont rien de sensible, sauf s’ils sont associés à une pathologie dans un fichier de suivi. C’est le contexte de traitement, plus que la donnée seule, qui déclenche la protection renforcée.
Quelles obligations et protections renforcées s’appliquent aux données sensibles ?
Le traitement des données sensibles est interdit par principe. L’article 9 du RGPD pose cette règle, complétée par la loi Informatique et Libertés du 6 janvier 1978 (article 6) qui fixe les conditions applicables en France. Protéger ces données, c’est d’abord respecter cette interdiction avant d’invoquer une exception.
Le responsable de traitement doit garantir la transparence : les personnes concernées sont informées de l’usage de leurs données et de leurs droits. Le principe de minimisation impose aussi de ne collecter que le strict nécessaire, de limiter la conservation dans le temps et de garantir la pertinence des informations traitées.
La divulgation involontaire de ces données expose à des risques de discrimination et à des sanctions lourdes. Le responsable doit s’assurer de la licéité de chaque traitement et documenter sa conformité pour justifier ses choix en cas de contrôle.
Dans quels cas le traitement de données sensibles est-il autorisé ?
La sécurité des accès conditionne aussi cette protection : un mot de passe faible peut être retrouvé par une attaque par dictionnaire, qui teste des combinaisons courantes jusqu’à trouver la bonne, et la clé de sécurité réseau d’une box Wi-Fi relève du même enjeu.
Le principe posé par le RGPD est clair : le traitement de données sensibles est interdit par défaut. Pour pouvoir les traiter légalement, le responsable de traitement doit s’appuyer sur l’une des 10 exceptions énumérées à l’article 9.2 du règlement. Sans base légale valide, aucune collecte ni utilisation n’est permise.
Voici les principales situations qui ouvrent droit au traitement.
- Consentement explicite : la personne doit donner un accord clair, par écrit, pour une finalité précise.
- Obligations légales : une loi impose au responsable de traiter ces données (paie, santé au travail, etc.).
- Intérêt public majeur : fondé sur le droit national, sous conditions strictes de proportionnalité.
- Recherche médicale ou scientifique : autorisée dans un cadre encadré et avec garanties spécifiques.
D’autres exceptions existent, comme la défense de droits en justice, la protection d’intérêts vitaux (urgence médicale), ou le traitement par une association légitime sur ses propres membres.
Le consentement exprès doit être distingué du consentement classique. Il est clair, spécifique, éclairé et univoque, sans case pré-cochée ni silence présumé. Le responsable de traitement doit pouvoir prouver à tout moment que ce consentement a bien été recueilli.
Données sensibles et données personnelles : quelles différences ?
| Type de donnée | Exemples concrets | Niveau de protection RGPD |
|---|---|---|
| Donnée personnelle courante | Nom, email, téléphone, adresse postale | Protection standard |
| Donnée sensible | Santé, origine raciale, religion, syndicat | Protection renforcée (article 9.1) |
| Donnée d’infraction | Condamnation pénale, mesure de sûreté | Encadrement spécifique (article 10) |
Une donnée personnelle concerne toute information relative à une personne identifiée ou identifiable : un nom, un email ou un numéro de téléphone suffisent. Ce périmètre large est posé dès l’article 4 de la LIPAD à Genève, et il structure l’ensemble du droit européen de la protection des données.
Une donnée sensible n’est pas une donnée personnelle comme les autres : c’est une sous-catégorie directement visée par l’article 9.1 du RGPD. Elle bénéficie d’une protection accrue car sa divulgation peut entraîner discrimination, stigmatisation ou préjudice grave pour la personne concernée.
Une protection renforcée dès la directive de 1995
Cette logique de protection spécifique n’est pas nouvelle. La directive 95/46/CE du 24 octobre 1995 prévoyait déjà, à son article 8, un régime spécifique pour ces données. Le RGPD a repris cet héritage en élargissant la catégorie sensible à de nouvelles réalités comme les données génétiques et biométriques.
En France, la loi Informatique et Libertés du 6 janvier 1978, précisée par son article 6, complète ce dispositif. Une donnée peut donc être personnelle sans être sensible, mais toute donnée sensible est nécessairement personnelle. Cette distinction conditionne les obligations du responsable de traitement : base légale spécifique, registre renforcé, analyse d’impact dans certains cas.
Comment protéger concrètement les données sensibles au quotidien ?
La première barrière reste l’hygiène numérique : mots de passe forts et uniques, verrouillage systématique des postes et contrôle d’accès aux salles et bâtiments. Ces gestes simples limitent drastiquement les fuites internes, souvent involontaires.
En déplacement, adoptez les réflexes recommandés par l’ANSSI, dont le guide sur les appareils mobiles pèse à peine 1,64 Mo mais couvre l’essentiel : filtre de confidentialité, évitement des clés USB offertes, et changement des mots de passe au retour de mission. Le chiffrement des supports et des échanges complète ce dispositif, tout comme une sauvegarde régulière.
Enfin, cadrez les usages par une politique interne claire : finalités, durées de conservation et contrôle d’accès par profil. Pour aller plus loin, la DGE met à disposition 28 fiches thématiques de sécurité économique, utiles pour former les équipes et ancrer ces bonnes pratiques dans la durée.