Toute entreprise détient des informations qu'elle juge confidentielles : salaires, marges, contrats. La plupart ne sont pourtant pas sensibles au sens du droit. La notion de données sensibles RGPD désigne une liste fermée de catégories, fixée par l'article 9 du règlement, dont le traitement est interdit par principe. Cet article vous aide à les reconnaître et à savoir quand votre entreprise peut les traiter. Pour la notion générale, voyez notre définition des données personnelles.
Qu'est-ce qu'une donnée sensible au sens du RGPD ?
Une donnée sensible est une donnée personnelle qui révèle un aspect intime de la personne, énuméré par l'article 9 RGPD. Le règlement parle de « catégories particulières de données ». Leur traitement est interdit, sauf exception prévue au paragraphe 2.
Le paragraphe 1, tel que publié sur le site de la CNIL, vise les données qui révèlent :
- l'origine raciale ou ethnique ;
- les opinions politiques ;
- les convictions religieuses ou philosophiques ;
- l'appartenance syndicale ;
- les données génétiques ;
- les données biométriques traitées aux fins d'identifier une personne de manière unique ;
- les données concernant la santé ;
- les données concernant la vie sexuelle ou l'orientation sexuelle.
Cette liste ne s'étend pas par analogie, mais chaque catégorie s'apprécie largement. La CNIL rappelle qu'une donnée de santé peut l'être par nature (pathologie, arrêt maladie, handicap), par croisement d'informations anodines, ou par l'usage médical qui en est fait.
Quelles données ne sont pas sensibles mais restent à risque ?
Plusieurs informations courantes ne figurent pas dans la liste des données sensibles RGPD. Elles obéissent pourtant à des règles propres, parfois aussi strictes.
- Le numéro de sécurité sociale (NIR) : la CNIL précise qu'il n'est pas une donnée de santé, mais son usage est réservé aux cas listés par un décret-cadre.
- Les infractions et condamnations : elles relèvent de l'article 10 du RGPD, qui n'autorise leur traitement que sous le contrôle de l'autorité publique ou lorsque le droit le prévoit avec des garanties appropriées.
- Les données financières : IBAN, revenus, historique de paiement sont des données ordinaires, mais leur détournement cause un préjudice direct, ce qui pèse sur le niveau de sécurité attendu.
Dans quels cas une entreprise peut-elle traiter des données sensibles ?
Le principe est l'interdiction. Une entreprise ne peut traiter des données sensibles RGPD que si l'une des dix exceptions du paragraphe 2 s'applique, et elle doit en plus disposer d'une base légale au titre de l'article 6. Le tableau ci-dessous traduit chaque exception en situation concrète.
| Exception (art. 9.2) | Situation d'entreprise typique | Point de vigilance |
|---|---|---|
| a) Consentement explicite | Un client signale une allergie alimentaire pour un événement | Fragile dans la relation employeur-salarié |
| b) Droit du travail et protection sociale | Arrêts maladie, reconnaissance de handicap, mandats des représentants du personnel | Traitement autorisé par le droit, avec garanties |
| c) Intérêts vitaux | Information médicale transmise aux secours pour un salarié inconscient | Personne hors d'état de consentir |
| d) Organisme politique, religieux ou syndical | Un syndicat gère la liste de ses adhérents | Limité aux membres, pas de communication externe sans consentement |
| e) Données rendues publiques par la personne | Engagement syndical revendiqué publiquement par un élu | La publication doit venir de la personne |
| f) Droit en justice | Certificat médical conservé dans un dossier prud'homal | Durée limitée à la procédure |
| g) Intérêt public important | Dispositifs légaux de lutte contre les discriminations | Nécessite un texte et des garanties |
| h) Médecine préventive ou du travail | Visite médicale d'embauche, suivi par le service de santé au travail | Professionnel soumis au secret ; l'employeur ne reçoit que l'avis d'aptitude |
| i) Santé publique | Mesures sanitaires imposées par les autorités | Fondé sur un texte |
| j) Archivage, recherche, statistiques | Étude épidémiologique menée avec un laboratoire | Garanties de l'article 89 du RGPD |
En PME, le droit du travail (b) et la médecine du travail (h) couvrent la majorité des cas. Le consentement explicite (a) est rarement adapté pour un employeur, car la preuve d'un consentement libre y est difficile.
Quelles obligations s'ajoutent quand on traite des données sensibles ?
Traiter des données sensibles RGPD ne se limite pas à trouver une exception : le règlement renforce les exigences, du registre jusqu'au délégué.
Obligations renforcées
La « grande échelle » n'est pas chiffrée dans le règlement. Une PME qui gère les arrêts maladie de ses salariés n'est généralement pas concernée, mais l'article 37 mérite d'être relu dès que l'activité principale repose sur ces données, comme pour un service d'aide à la personne.
Situations courantes en PME : sensible ou non ?
Le tableau suivant reprend des cas rencontrés dans la plupart des entreprises et indique si l'information relève de l'article 9 et sur quelle base la traiter.
| Situation | Donnée sensible ? | Base possible |
|---|---|---|
| Arrêt maladie envoyé par un salarié | Oui (santé) | Art. 9.2 b, obligations de droit du travail |
| Heures de délégation d'un délégué syndical suivies en paie | Oui (appartenance syndicale) | Art. 9.2 b, obligations de droit du travail liées au mandat |
| Badge d'accès par empreinte digitale | Oui (biométrie) | Cadre strict ; privilégier un badge classique |
| NIR dans le logiciel de paie | Non, mais usage encadré | Obligation légale (déclarations sociales) |
| Extrait de casier judiciaire à l'embauche | Non (art. 10), régime spécifique | Uniquement si un texte l'autorise pour le poste |
La bonne question n'est donc pas « est-ce confidentiel ? », mais « cela révèle-t-il l'une des huit catégories de l'article 9 ? ». Un fichier RH ordinaire contient souvent quelques données sensibles RGPD sans que personne ne l'ait décidé : un commentaire libre sur un arrêt de travail suffit.
À retenir
- L'article 9 du RGPD fixe une liste fermée de huit catégories, dont le traitement est interdit par principe.
- Le NIR, les données bancaires et les condamnations pénales ne sont pas sensibles, mais disposent d'un cadre propre.
- En PME, les cas fréquents relèvent du droit du travail et de la médecine du travail, rarement du consentement.
- Le traitement à grande échelle déclenche une AIPD et la désignation d'un DPO.
Sources : articles 9 et 10 du RGPD (CNIL), articles 35 et 37 (CNIL), définition CNIL de la donnée sensible, texte sur EUR-Lex.
Définitions utiles
Tout le lexique RGPD- Données sensiblesLes données sensibles sont des catégories de données dont le traitement est interdit par principe : origine raciale ou ethnique, opinions politiques, religion, appartenance syndicale, données génétiques, biométriques, de santé, vie ou orientation sexuelle.
- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- DPOLe DPO, ou délégué à la protection des données, est la personne désignée par un organisme pour l'informer, le conseiller et contrôler qu'il respecte le RGPD. Il est aussi l'interlocuteur de la CNIL et des personnes concernées.
- AIPDL'AIPD, ou analyse d'impact relative à la protection des données, est une étude menée avant un traitement susceptible d'engendrer un risque élevé pour les personnes, afin d'évaluer ce risque et de définir les mesures pour le réduire.
- Données personnellesUne donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement (nom, photo) ou indirectement (numéro de téléphone, adresse IP, numéro d'adhérent, combinaison de plusieurs éléments).
- ConsentementLe consentement est une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte, par une déclaration ou un acte positif clair, que ses données personnelles soient traitées.
