Données sensibles : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Les données sensibles sont des catégories de données dont le traitement est interdit par principe : origine raciale ou ethnique, opinions politiques, religion, appartenance syndicale, données génétiques, biométriques, de santé, vie ou orientation sexuelle.
Ce qu'il faut comprendre
L'article 9 du RGPD pose une interdiction de principe, assortie d'exceptions limitées : consentement explicite, obligations en droit du travail et de la protection sociale, sauvegarde des intérêts vitaux, activités d'un organisme à but non lucratif à finalité politique, philosophique, religieuse ou syndicale, données manifestement rendues publiques, défense de droits en justice, prise en charge sanitaire ou sociale, intérêt public important ou recherche. Il faut à la fois une base légale de l'article 6 et une exception de l'article 9.
Ces données exigent des précautions renforcées : accès réservé aux seules personnes qui en ont besoin, chiffrement, traçabilité des consultations. Leur traitement à grande échelle rend la désignation d'un DPO obligatoire et impose une analyse d'impact relative à la protection des données (AIPD). La notion de grande échelle s'apprécie au regard du nombre de personnes, du volume de données, de la durée et de l'étendue géographique du traitement.
Ne sont pas des données sensibles au sens de l'article 9, bien qu'elles soient très protégées : les données relatives aux condamnations et aux infractions, qui relèvent de l'article 10, le numéro de sécurité sociale, les coordonnées bancaires ou les données de géolocalisation. Elles appellent néanmoins une vigilance particulière, et certaines font l'objet de règles nationales spécifiques.
Erreur fréquente : juger une donnée anodine parce qu'elle est indirecte. Une demande de repas sans porc peut révéler une conviction religieuse, une demande d'aménagement de poste peut révéler un handicap. Ces informations doivent être traitées avec la même prudence que les données sensibles explicites. Elles ne doivent être collectées que si elles sont réellement nécessaires, et partagées avec le moins de personnes possible.
Exemple concret
Une association cultuelle tient le fichier de ses membres et donateurs. Ce fichier révèle leurs convictions religieuses : il s'agit de données sensibles. L'association peut les traiter sans consentement explicite, grâce à l'exception prévue pour les organismes à but non lucratif, à condition que le traitement ne concerne que ses membres ou les personnes en contact régulier avec elle, et que les données ne soient pas communiquées à l'extérieur sans leur consentement.
Textes de référence
- RGPD, art. 9
- RGPD, art. 35, 3), b)
- RGPD, art. 37, 1), c)
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
