Données Sensibles et RGPD : Comprendre les Principes, Obligations et Dérogations

Le traitement des données sensibles représente l’une des zones de risque les plus mal maîtrisées dans les entreprises françaises. Pourtant, le cadre juridique est sans ambiguïté : l’article 9 du RGPD pose une interdiction de principe, et les exceptions sont limitativement énumérées. Une PME industrielle qui gère les arrêts maladie de ses salariés, une association qui enregistre les convictions religieuses de ses membres, un sous-traitant qui héberge des dossiers médicaux pour le compte d’un client : tous ces acteurs sont concernés, souvent sans en avoir pleinement conscience. Les sanctions prononcées par la CNIL pour traitement illicite de données sensibles figurent parmi les plus élevées du droit européen de la protection des données. Comprendre exactement ce que recouvre la notion de données sensibles, identifier les exceptions applicables, et mettre en place les garanties exigées par le règlement : voilà ce que cet article traite, section par section, de manière opérationnelle.

• Le traitement des données sensibles est interdit par défaut selon l’article 9 du RGPD.
• Huit catégories sont visées : origine ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques, données biométriques, données de santé, vie sexuelle ou orientation sexuelle.
• Dix exceptions permettent de lever l’interdiction, sous conditions strictes.
• Une analyse d’impact (AIPD) est obligatoire pour tout traitement à grande échelle de données sensibles.
• Le registre des traitements doit mentionner explicitement l’exception invoquée.
• La désignation d’un DPO peut devenir obligatoire selon la nature et l’échelle des traitements.
• Des mesures de sécurité renforcées s’appliquent : chiffrement, contrôle d’accès strict, journalisation.

Qu’est-ce qu’une donnée sensible au sens strict du RGPD ?

Le RGPD ne parle pas de « données sensibles » dans ses attendus. Il emploie l’expression catégories particulières de données à caractère personnel, et c’est l’article 9 qui en définit le périmètre. Cette précision n’est pas anodine : elle signifie que la qualification ne repose pas sur une appréciation subjective du risque, mais sur une liste fermée, définie par le texte lui-même.

Le paragraphe 1 de l’article 9 pose le principe d’interdiction de manière explicite. Aucune organisation, publique ou privée, ne peut traiter ces données par défaut. Le traitement ne devient licite que si l’une des dix exceptions du paragraphe 2 s’applique, et à condition que cette exception soit documentée. C’est une logique inverse à celle du traitement de données personnelles ordinaires, où la licéité peut reposer sur plusieurs bases légales sans hiérarchie particulière.

Une distinction fondamentale mérite d’être posée dès le départ : données sensibles ne signifient pas données confidentielles. Un numéro de carte bancaire, un mot de passe, un numéro de sécurité sociale (NIR) sont des données qui appellent une protection forte, mais elles ne relèvent pas de l’article 9 du RGPD. Le NIR, par exemple, est encadré en droit français par l’article 87 du RGPD et par un décret spécifique de 2019, mais son régime juridique est distinct de celui des données sensibles. Confondre les deux catégories conduit à des erreurs de conformité dans les deux sens : soit à sous-protéger des données sensibles réelles, soit à appliquer des contraintes injustifiées à des données qui n’entrent pas dans le champ de l’article 9.

Pour aller plus loin sur la distinction entre données personnelles classiques et données sensibles, la définition publiée par la CNIL constitue la référence de base à consulter en priorité.

Action concrète : Avant de qualifier un traitement, vérifiez systématiquement si les données concernées figurent dans la liste de l’article 9 du RGPD. Ne raisonnez pas en termes de « sensibilité perçue », mais en termes de qualification juridique.

Quelles sont les huit catégories de données sensibles listées à l’article 9 ?

La liste de l’article 9 est exhaustive. En voici le détail, avec les implications pratiques pour une entreprise ou une organisation.

L’origine raciale ou ethnique recouvre toute donnée qui révèle, directement ou indirectement, l’origine d’une personne. Une photographie peut en faire partie si elle est utilisée dans un contexte où l’origine ethnique est inférée. La nationalité seule ne constitue pas nécessairement une donnée sensible, sauf si elle est utilisée comme indicateur d’appartenance ethnique.

Les opinions politiques incluent les affiliations partisanes, les dons à des organisations politiques, les résultats de sondages nominatifs, ou encore la participation à des manifestations. Dans une PME, un responsable RH qui noterait dans un dossier salarié la tendance politique supposée d’un collaborateur commettrait une violation de l’article 9.

Les convictions religieuses ou philosophiques sont fréquemment rencontrées dans les contextes de gestion des ressources humaines. Un menu halal ou casher dans une cantine d’entreprise, une demande de congé pour une fête religieuse : ces informations, si elles sont enregistrées nominativement, révèlent des convictions et deviennent des données sensibles.

L’appartenance syndicale est une donnée sensible dès lors qu’elle identifie une personne comme membre d’un syndicat. Les prélèvements de cotisations syndicales visibles sur les bulletins de paie en sont l’exemple le plus courant. Leur traitement est autorisé dans le cadre du droit du travail, mais l’accès à ces informations doit être strictement limité.

Les données génétiques désignent les informations relatives aux caractéristiques génétiques héréditaires ou acquises, issues notamment d’analyses d’échantillons biologiques. Les résultats de tests ADN ou les séquençages génomiques entrent clairement dans cette catégorie.

Les données biométriques ne constituent des données sensibles que lorsqu’elles sont utilisées à des fins d’identification unique. Une empreinte digitale utilisée pour contrôler l’accès à un atelier industriel relève de l’article 9. En revanche, une simple photographie d’identité sur un badge n’en fait pas partie, sauf si elle fait l’objet d’un traitement de reconnaissance faciale.

Les données de santé représentent la catégorie la plus fréquente en milieu professionnel. La définition est large : un arrêt maladie, une reconnaissance de qualité de travailleur handicapé (RQTH), une adaptation de poste sur recommandation médicale, ou encore l’adhésion à une mutuelle spécifique qui révèle un état de santé particulier. Pour approfondir les règles applicables à ces données, ce guide complet sur les données sensibles RGPD offre une analyse détaillée et opérationnelle.

Les données concernant la vie sexuelle ou l’orientation sexuelle incluent notamment le statut sérologique, toute information sur les pratiques sexuelles, ou l’orientation sexuelle déclarée ou déduite.

Action concrète : Passez en revue votre registre des traitements et identifiez toutes les entrées où l’une de ces huit catégories est impliquée, même de façon indirecte.

Quelles exceptions permettent de traiter des données sensibles légalement ?

L’article 9(2) du RGPD prévoit dix exceptions à l’interdiction de traitement. Quatre d’entre elles couvrent la grande majorité des situations rencontrées par les organisations.

La première exception est le consentement explicite (article 9(2)(a)). Contrairement au consentement classique prévu à l’article 7, il ne suffit pas d’un acte positif clair : une déclaration expresse, écrite ou orale, portant spécifiquement sur le traitement des données sensibles est requise. Une case à cocher pré-remplie ou un consentement global ne satisfait pas à cette exigence.

La deuxième exception concerne les obligations en droit du travail et de la protection sociale (article 9(2)(b)). C’est sur ce fondement qu’une PME industrielle peut traiter les données d’appartenance syndicale dans le cadre de la gestion des heures de délégation, ou traiter les arrêts maladie pour assurer la continuité de l’activité. Cette exception ne couvre que ce qui est strictement nécessaire à l’exécution de ces obligations légales.

La troisième exception repose sur la médecine préventive ou professionnelle (article 9(2)(h)). Elle permet à un médecin du travail de traiter des données de santé pour évaluer la capacité de travail d’un salarié ou adapter un poste. Attention : cette exception bénéficie au médecin du travail, pas à l’employeur. Le service RH n’a pas accès au diagnostic médical — il reçoit uniquement les préconisations du médecin.

La quatrième exception concerne les motifs d’intérêt public dans le domaine de la santé publique (article 9(2)(i)), qui a notamment été mobilisée dans le contexte des politiques sanitaires récentes. Elle autorise des traitements visant à protéger contre des menaces graves pesant sur la santé ou à garantir des normes de qualité des soins.

Exception (art. 9(2))	Lettre	Exemple d’application	Condition particulière
Consentement explicite	(a)	Application de bien-être au travail	Déclaration expresse, révocable
Droit du travail et protection sociale	(b)	Gestion des arrêts maladie, cotisations syndicales	Strictement nécessaire
Sauvegarde des intérêts vitaux	(c)	Urgence médicale sans consentement possible	Impossibilité d’obtenir le consentement
Association à but non lucratif	(d)	Association religieuse gérant ses membres	Données limitées aux membres, pas de communication externe
Médecine préventive / travail	(h)	Visite médicale, aptitude au poste	Sous secret professionnel
Intérêt public, santé publique	(i)	Surveillance épidémiologique	Fondement en droit national
Recherche scientifique / archivistique	(j)	Essai clinique, étude épidémiologique	Proportionnalité, garanties spécifiques

Action concrète : Pour chaque traitement de données sensibles identifié dans votre registre, notez explicitement l’exception de l’article 9(2) sur laquelle vous vous appuyez. L’absence de cette mention est un manquement documentaire en soi, indépendamment du fond.

Quelles obligations renforcées s’appliquent aux traitements de données sensibles ?

Le traitement de données sensibles ne se limite pas à trouver une base légale dans l’article 9(2). Il déclenche un ensemble d’obligations additionnelles qui s’appliquent en parallèle et sans exception.

L’analyse d’impact relative à la protection des données (AIPD) est la première de ces obligations. L’article 35 du RGPD la rend obligatoire lorsque le traitement de données sensibles est réalisé à grande échelle. La CNIL a publié une liste de référence des traitements nécessitant une AIPD, et les traitements de données sensibles y figurent systématiquement dès lors qu’ils sont croisés avec d’autres facteurs de risque. L’AIPD doit être réalisée avant le lancement du traitement, et non après coup.

La sécurité renforcée constitue la deuxième exigence. L’article 32 impose des mesures proportionnées au risque, et le traitement de données sensibles élève mécaniquement ce niveau de risque. Le chiffrement des données au repos et en transit n’est pas une option : c’est la mesure minimale attendue. Le contrôle d’accès doit être strict, avec une gestion des habilitations rigoureuse. Seules les personnes ayant une nécessité fonctionnelle documentée peuvent consulter ces données.

La journalisation des accès (traçabilité) est une mesure complémentaire essentielle. Elle permet, en cas d’incident ou de contrôle, de démontrer qui a consulté quelles données et à quel moment. Dans une PME industrielle comptant plusieurs dizaines de salariés, la tentation est forte de partager des accès génériques par commodité. C’est une pratique à bannir absolument pour les données sensibles.

La pseudonymisation, lorsqu’elle est techniquement possible, constitue une mesure supplémentaire pertinente. Elle ne remplace pas les autres obligations, mais elle réduit le risque en cas de violation de données. En cas d’incident sur des données sensibles, la notification à la CNIL est quasi systématiquement obligatoire dans un délai de 72 heures, et l’information des personnes concernées est généralement requise. Pour comprendre les conséquences concrètes d’une telle violation, cet article sur les impacts d’une violation de données détaille les implications opérationnelles et financières.

Action concrète : Vérifiez que votre plan de réponse aux incidents de sécurité prévoit une procédure spécifique pour les violations impliquant des données sensibles, avec les délais de notification à respecter.

Le DPO est-il obligatoire dès que vous traitez des données sensibles ?

La réponse est nuancée, mais la règle est claire. L’article 37(1)(c) du RGPD impose la désignation d’un délégué à la protection des données (DPO) lorsque les activités de base du responsable de traitement consistent en un traitement à grande échelle de catégories particulières de données. La notion d’activités « de base » est déterminante : il s’agit des traitements qui constituent le cœur de l’activité, pas des traitements accessoires.

Un établissement de santé traite des données de santé à grande échelle dans le cadre de son activité principale : la désignation d’un DPO est obligatoire. Une PME industrielle qui gère les arrêts maladie de ses 80 salariés dans un logiciel RH ne traite pas de données de santé « à grande échelle » au sens du RGPD : la désignation d’un DPO n’est pas obligatoire de ce seul fait, même si elle reste fortement recommandée.

La notion de « grande échelle » n’est pas définie par un seuil chiffré dans le RGPD. Les lignes directrices du Comité européen de la protection des données (CEPD) invitent à considérer le nombre de personnes concernées, le volume de données, la durée du traitement et son étendue géographique. Pour une PME de moins de 250 salariés, le traitement des données RH courantes (arrêts maladie, visites médicales) ne déclenche généralement pas l’obligation, mais il appelle une vigilance accrue sur la documentation et les mesures de sécurité.

Pour les organisations qui souhaitent bénéficier d’un accompagnement expert sans recruter en interne, la solution du DPO externe mérite d’être étudiée sérieusement. Elle permet d’accéder à une compétence spécialisée proportionnée aux besoins réels de la structure.

Action concrète : Évaluez si vos traitements de données sensibles constituent vos « activités de base » au sens du RGPD. Si la question se pose, documentez votre analyse et consultez un expert pour sécuriser votre position.

Comment les données sensibles indirectes piègent les entreprises ?

L’une des erreurs les plus fréquentes consiste à ne qualifier de données sensibles que les informations explicitement libellées comme telles. Or, la qualification s’apprécie au regard de ce que la donnée révèle, pas seulement de ce qu’elle contient littéralement. Ce principe d’appréciation indirecte est à l’origine de nombreuses situations de non-conformité involontaire.

Prenons un exemple concret dans un contexte industriel. Une entreprise de fabrication gère une cantine pour ses 150 salariés. Elle enregistre les préférences alimentaires pour optimiser les commandes : menu sans porc, menu végétarien, menu halal. Ces informations, enregistrées nominativement, révèlent potentiellement des convictions religieuses ou philosophiques. Elles deviennent des données sensibles au sens de l’article 9, même si personne dans l’équipe RH n’a eu l’intention de collecter des données religieuses.

Un autre cas classique : l’adaptation d’un poste de travail. Lorsqu’une entreprise modifie les conditions de travail d’un salarié sur recommandation du médecin du travail et que cette adaptation est mentionnée dans le dossier RH, l’information révèle indirectement un état de santé. La mention « poste adapté – port de charges limité à 5 kg » dans un fichier de gestion des plannings constitue une donnée de santé indirecte.

La gestion des absences est un terrain particulièrement glissant. La simple existence d’un arrêt de travail est une donnée de santé, même si le diagnostic médical n’est jamais communiqué à l’employeur. Un tableau Excel récapitulant les absences avec la mention « arrêt maladie » suffit à faire entrer le traitement dans le champ de l’article 9.

Pour aller plus loin sur la distinction entre données personnelles ordinaires et données sensibles dans le contexte de la conformité, cet article sur les données personnelles au cœur de la conformité RGPD apporte un éclairage utile sur la cartographie des risques.

Action concrète : Auditez vos fichiers de gestion courante (plannings, absences, cantine, badges d’accès) pour identifier les données indirectement révélatrices d’une des huit catégories sensibles. Traitez ces fichiers avec les garanties de l’article 9 dès lors qu’une révélation indirecte est possible.

Quelles règles s’appliquent selon le secteur d’activité ?

Le régime des données sensibles ne s’applique pas de façon uniforme : selon le secteur, les exceptions mobilisables et les obligations spécifiques varient. Quatre secteurs méritent une attention particulière.

Dans les ressources humaines, la base légale principale est l’article 9(2)(b) (droit du travail). L’employeur peut traiter les données relatives aux arrêts maladie, aux accidents du travail, aux cotisations syndicales et aux reconnaissances de travailleur handicapé. En revanche, il ne peut pas accéder au diagnostic médical : cette information appartient au médecin du travail, qui est soumis au secret professionnel. Les accès aux données de santé dans les systèmes RH doivent être strictement limités aux gestionnaires RH habilités, à l’exclusion des managers opérationnels.

Dans le secteur de la santé, les établissements de soins traitent massivement des données de santé sur le fondement de l’article 9(2)(h). Une obligation supplémentaire s’y ajoute : les données de santé doivent être hébergées chez un prestataire certifié HDS (Hébergeur de Données de Santé). Ce référentiel de certification, délivré par la Haute Autorité de Santé, impose des exigences techniques et organisationnelles spécifiques. Un établissement de santé qui utilise un logiciel cloud hébergé par un prestataire non certifié HDS est en violation du droit français, indépendamment de sa conformité au RGPD.

Les associations à caractère religieux, politique, philosophique ou syndical traitent par nature des données sensibles revelant les convictions de leurs membres. L’article 9(2)(d) prévoit une exception dédiée, mais elle est conditionnée : le traitement doit se limiter aux seuls membres ou anciens membres, et les données ne peuvent pas être communiquées à des tiers sans le consentement exprès des personnes concernées. Une association cultuelle qui transmet sa liste de membres à un partenaire commercial, même avec les meilleures intentions, viole cette règle.

Dans le domaine de la recherche scientifique, les projets impliquant des données génétiques ou de santé peuvent invoquer l’exception de l’article 9(2)(j), sous réserve d’un fondement en droit national et d’une procédure d’autorisation spécifique auprès de la CNIL. En France, cette procédure est encadrée par des méthodologies de référence (MR) publiées par la CNIL, qui définissent les conditions standard d’autorisation pour certains types de recherches.

Action concrète : Identifiez le ou les secteurs d’activité de votre organisation et vérifiez quelles exceptions sectorielles s’appliquent à vos traitements de données sensibles. Ne vous contentez pas d’une exception générique si une exception spécifique à votre secteur existe.

Comment intégrer le privacy by design dans le traitement de données sensibles ?

Le principe de protection des données dès la conception (privacy by design) n’est pas une option pour les traitements impliquant des données sensibles : c’est une obligation découlant de l’article 25 du RGPD, renforcée par le niveau de risque particulier que ces données représentent. Concrètement, cela signifie que la réflexion sur la protection des données doit précéder le lancement de tout nouveau projet impliquant des données sensibles, et non lui succéder.

Trois questions structurantes permettent d’opérationnaliser ce principe. La première : est-il possible d’atteindre la finalité recherchée sans traiter de données sensibles ? Si une entreprise veut améliorer la gestion des absences, peut-elle le faire avec des données agrégées et anonymisées plutôt qu’avec des données nominatives incluant la nature de l’absence ? Si oui, c’est la voie à emprunter. Le principe de minimisation des données, posé à l’article 5(1)(c) du RGPD, s’applique avec une rigueur particulière aux catégories de l’article 9.

La deuxième question : si le traitement de données sensibles est inévitable, quelle exception de l’article 9(2) s’applique et cette exception est-elle documentée de façon opposable ? La troisième question porte sur les mesures techniques et organisationnelles : sont-elles proportionnées au niveau de risque réel du traitement ? Un traitement de données de santé hébergé sur un serveur non chiffré, sans contrôle d’accès différencié, ne satisfait pas à cette exigence, quelle que soit la validité de la base légale invoquée.

Un audit RGPD régulier permet de vérifier que les traitements de données sensibles restent conformes dans le temps. Les organisations évoluent, les outils changent, les prestataires se succèdent : une conformité établie à un instant T peut devenir caduque si elle n’est pas réévaluée périodiquement. Les six grands principes du RGPD publiés par la CNIL constituent la boussole de cette évaluation continue.

Pour les PME qui souhaitent sécuriser leur conformité sur ce sujet précis, une approche progressive est possible : commencer par cartographier les traitements existants impliquant des données sensibles, vérifier les bases légales, puis renforcer les mesures de sécurité par ordre de priorité en fonction du niveau de risque.

Action concrète : Avant de lancer tout nouveau projet impliquant potentiellement des données sensibles, formalisez par écrit les réponses aux trois questions ci-dessus. Ce document servira de première ébauche d’AIPD si le traitement s’avère en relever.

Les données relatives aux infractions pénales sont-elles des données sensibles au sens de l’article 9 ?

Non. Les données relatives aux condamnations pénales et aux infractions relèvent de l’article 10 du RGPD, qui est distinct de l’article 9. Le régime juridique n’est pas identique : l’article 10 ne pose pas une interdiction de principe assortie d’exceptions, mais soumet le traitement à des conditions spécifiques, notamment l’existence d’un fondement en droit de l’Union ou d’un État membre. En France, l’article 46 de la loi Informatique et Libertés encadre strictement ces traitements, qui ne peuvent en règle générale être effectués que sous le contrôle de l’autorité publique.

Une photographie est-elle une donnée sensible ?

En elle-même, une photographie d’identité n’est pas une donnée sensible au sens de l’article 9 du RGPD. Elle le devient si elle fait l’objet d’un traitement technique spécifique de reconnaissance faciale visant à identifier une personne de manière unique, ce qui la fait entrer dans la catégorie des données biométriques. Elle peut également être considérée comme révélant indirectement l’origine ethnique si elle est utilisée à cette fin dans un traitement particulier.

Un employeur peut-il traiter des données de santé de ses salariés ?

L’employeur peut traiter certaines données de santé dans le cadre strict de ses obligations légales : gestion des arrêts maladie, déclaration d’accidents du travail, adaptation du poste de travail sur recommandation du médecin du travail. L’exception applicable est l’article 9(2)(b) du RGPD. En revanche, l’employeur n’a pas accès au diagnostic médical : seul le médecin du travail peut consulter les informations médicales détaillées. Les données de santé traitées par le service RH doivent être strictement limitées à ce qui est nécessaire à la gestion administrative.

La collecte de préférences alimentaires dans une cantine d’entreprise constitue-t-elle un traitement de données sensibles ?

Oui, si ces préférences sont enregistrées nominativement et qu’elles révèlent des convictions religieuses ou philosophiques (menu halal, casher, végétarien pour des raisons éthiques). La qualification de donnée sensible s’apprécie en fonction de ce que la donnée révèle, pas de son libellé. Une organisation doit soit anonymiser ces informations, soit mettre en place les garanties de l’article 9 si un enregistrement nominatif est nécessaire.

L’AIPD est-elle obligatoire pour tous les traitements de données sensibles ?

L’AIPD est obligatoire pour les traitements de données sensibles réalisés à grande échelle, conformément à l’article 35 du RGPD. La notion de grande échelle s’apprécie en fonction du nombre de personnes concernées, du volume de données, de la durée et de l’étendue géographique du traitement. La CNIL a publié une liste de référence des traitements nécessitant une AIPD. Pour un traitement portant sur un nombre limité de personnes dans une PME, l’AIPD peut ne pas être obligatoire, mais une analyse de risque documentée reste fortement recommandée.