Dans le langage courant, on parle souvent de données sensibles pour désigner toute information jugée confidentielle. En droit européen, la notion est plus précise. Le RGPD encadre strictement certaines catégories de données personnelles, car leur utilisation peut exposer les personnes à des discriminations, à une atteinte à leur vie privée ou à un risque particulier pour leurs droits fondamentaux.
Le Règlement général sur la protection des données ne définit pas les données sensibles comme une catégorie vague ou subjective. Il parle principalement de catégories particulières de données, visées à l’article 9 du texte. Ces informations bénéficient d’un régime renforcé, car elles révèlent des aspects très intimes ou potentiellement discriminants de l’identité d’une personne.
Une donnée est dite sensible lorsqu’elle permet d’identifier, directement ou indirectement, une personne et qu’elle concerne certains éléments protégés. Il ne suffit donc pas qu’une information soit confidentielle pour entrer dans cette catégorie. Un salaire, une adresse personnelle ou un numéro de téléphone sont des données personnelles, mais ne sont pas nécessairement des données sensibles au sens strict du RGPD.
La distinction est importante pour les entreprises, associations, administrations et professionnels de santé. Traiter des données sensibles implique des obligations plus fortes, notamment sur la justification du traitement, la sécurité, l’accès aux informations et la durée de conservation. En pratique, cela impose une analyse rigoureuse avant toute collecte.
Le RGPD énumère les types de données qui relèvent de cette protection particulière. Cette liste est centrale, car elle sert de référence aux responsables de traitement et aux sous-traitants pour déterminer le niveau de vigilance à appliquer.
Ces catégories doivent être interprétées avec prudence. Une photographie, par exemple, n’est pas automatiquement une donnée biométrique sensible. Elle le devient si elle est traitée par un dispositif technique permettant l’identification unique d’une personne, comme un système de reconnaissance faciale. Le contexte d’utilisation joue donc un rôle déterminant.
Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Il peut s’agir d’un nom, d’un identifiant client, d’une adresse IP, d’une plaque d’immatriculation ou d’un historique d’achat. Les données sensibles constituent un sous-ensemble de ces données personnelles, soumis à des règles plus strictes.
La confidentialité, elle, relève davantage de la valeur stratégique, contractuelle ou organisationnelle d’une information. Une liste de clients peut être confidentielle pour une entreprise sans être composée de données sensibles au sens du RGPD. À l’inverse, une base contenant des informations médicales, même accessible à peu de personnes, relève bien d’un traitement de données sensibles.
Cette distinction évite deux erreurs fréquentes. La première consiste à sous-estimer des traitements réellement sensibles, par exemple un questionnaire RH portant sur la santé ou l’appartenance syndicale. La seconde consiste à qualifier toute information interne de sensible, ce qui brouille l’analyse juridique et peut conduire à des mesures mal ciblées.
Le RGPD pose un principe clair : le traitement des catégories particulières de données est en principe interdit. Cette interdiction n’est pas absolue, mais les exceptions sont limitées et doivent être interprétées strictement. Le responsable de traitement doit donc identifier une base juridique adaptée et, en plus, une exception spécifique prévue par l’article 9.
Le consentement explicite de la personne concernée est l’une des exceptions possibles, mais il n’est pas toujours suffisant ni toujours valable. Dans une relation de travail, par exemple, le consentement peut être contesté en raison du déséquilibre entre l’employeur et le salarié. D’autres exceptions existent, notamment pour la médecine préventive, le droit du travail, la sécurité sociale, l’intérêt public important ou la défense de droits en justice.
Le caractère sensible d’une donnée impose aussi de documenter les choix effectués. Les organisations doivent pouvoir démontrer pourquoi elles collectent ces informations, comment elles les protègent et pourquoi elles ne peuvent pas atteindre le même objectif avec des données moins intrusives. C’est le cœur du principe de minimisation des données.
Dans le secteur de la santé, les traitements de données sensibles sont évidents : dossiers patients, résultats d’analyses, prescriptions, comptes rendus médicaux. Mais d’autres secteurs sont également concernés. Une application de bien-être collectant des informations sur le sommeil, la fréquence cardiaque ou les symptômes peut traiter des données de santé, même si elle n’est pas exploitée par un médecin.
Les ressources humaines constituent un autre terrain sensible. Les informations relatives aux arrêts maladie, aux restrictions médicales, aux aménagements de poste ou à l’appartenance syndicale doivent être strictement encadrées. L’accès doit être limité aux personnes habilitées, avec une finalité précise et une durée de conservation maîtrisée.
Les technologies biométriques appellent aussi une attention particulière. Contrôle d’accès par empreinte digitale, reconnaissance faciale, authentification vocale : ces dispositifs peuvent être particulièrement intrusifs. Leur utilisation doit être justifiée par un besoin fort et proportionné. À défaut, des alternatives moins risquées, comme un badge ou une authentification classique, doivent être privilégiées.
Traiter des données sensibles ne signifie pas seulement sécuriser un fichier. L’organisation doit adopter une démarche globale, combinant analyse juridique, gouvernance, sécurité technique et formation des équipes. Le registre des traitements doit identifier clairement les finalités, les catégories de personnes concernées, les destinataires et les mesures de protection appliquées.
Dans certains cas, une analyse d’impact relative à la protection des données, souvent appelée AIPD, est nécessaire. Elle permet d’évaluer les risques pour les droits et libertés des personnes, puis de définir des mesures de réduction adaptées. Cette démarche est particulièrement pertinente lorsque le traitement porte sur des données de santé à grande échelle ou sur des outils de surveillance.
La sécurité doit être proportionnée au risque. Chiffrement, contrôle des accès, traçabilité, cloisonnement des bases, procédures d’habilitation et audits réguliers font partie des mesures courantes. Une approche de protection intégrée dès la conception des services numériques permet de limiter les risques avant même la mise en production d’un traitement.
Les données relatives aux condamnations pénales et aux infractions ne figurent pas dans la liste de l’article 9, mais elles sont également soumises à un encadrement spécifique. L’article 10 du RGPD prévoit que leur traitement ne peut être effectué que sous le contrôle de l’autorité publique ou lorsqu’il est autorisé par le droit applicable.
Il s’agit par exemple d’informations concernant un casier judiciaire, une procédure pénale, une condamnation ou une infraction présumée. Ces informations peuvent avoir de lourdes conséquences sur la réputation, l’emploi ou l’accès à certains services. Elles doivent donc être traitées avec un niveau de prudence comparable à celui des données hautement sensibles.
Pour les employeurs, la collecte d’un extrait de casier judiciaire n’est possible que dans des situations précises, lorsqu’elle est justifiée par la nature du poste ou par une obligation légale. Une demande systématique et indifférenciée serait difficilement compatible avec les principes du RGPD.
La durée de conservation est un enjeu majeur. Les données sensibles ne doivent pas être gardées indéfiniment au motif qu’elles pourraient être utiles plus tard. Chaque finalité doit être associée à une durée déterminée, cohérente avec les obligations légales et les besoins opérationnels. Sur ce sujet, la limitation de conservation constitue l’un des principes structurants du RGPD.
L’accès aux données doit également être strictement limité. Toutes les personnes d’une organisation n’ont pas à consulter des informations médicales, biométriques ou syndicales. La gestion des habilitations, la journalisation des accès et la sensibilisation des équipes sont essentielles pour éviter les usages abusifs ou les divulgations accidentelles.
La transparence reste enfin obligatoire. Les personnes concernées doivent comprendre quelles données sont collectées, pour quelle raison, sur quelle base, pendant combien de temps et auprès de quels destinataires. Une information claire, accessible et complète renforce la confiance et facilite l’exercice des droits prévus par le RGPD.
Une violation de données peut prendre plusieurs formes : accès non autorisé, perte d’un support, envoi d’un fichier au mauvais destinataire, cyberattaque ou publication accidentelle. Lorsqu’elle concerne des données sensibles, le risque pour les personnes est souvent plus élevé, car les conséquences peuvent être durables.
Le responsable de traitement doit évaluer rapidement la gravité de l’incident. Si la violation présente un risque pour les droits et libertés des personnes, une notification à la CNIL doit être réalisée dans les délais prévus. Les critères d’analyse sont détaillés dans les règles relatives à la déclaration d’une fuite de données personnelles, notamment lorsque les informations exposées sont particulièrement sensibles.
Dans les cas les plus graves, les personnes concernées doivent également être informées. L’objectif est de leur permettre de prendre des mesures de protection, par exemple surveiller certains usages, modifier des accès ou signaler une tentative d’usurpation. La réactivité et la documentation de l’incident sont alors déterminantes.
Comprendre la définition des données sensibles dans le RGPD est indispensable pour construire une conformité réaliste. Le sujet ne concerne pas uniquement les hôpitaux ou les grandes entreprises technologiques. Toute organisation peut être amenée à manipuler des informations liées à la santé, aux convictions, à la biométrie ou à la vie personnelle.
La bonne approche consiste à identifier précisément les données traitées, à vérifier leur nécessité, à limiter les accès, à renforcer la sécurité et à documenter les décisions. En matière de données sensibles, la question centrale n’est pas seulement de savoir si le traitement est utile, mais s’il est nécessaire, proportionné et maîtrisé. C’est à cette condition que le RGPD protège efficacement les personnes sans bloquer les usages légitimes.
