Article 9 RGPD : les 10 exceptions à l'interdiction
Article 9 du RGPD : interdiction de principe, 10 exceptions de l'Art. 9(2), régime spécifique des données de santé, mise en œuvre en France.
Un fichier d’allergies, un dossier syndical ou un dispositif de reconnaissance faciale ne se justifie pas uniquement par une base légale. L’article 9 du RGPD ajoute une interdiction de principe et dix exceptions. Il faut identifier celle qui correspond à la finalité, puis vérifier ses conditions et le droit français applicable.
Ce guide propose une grille de décision : qualifier les données, choisir le fondement, contrôler les garanties et conserver la justification. Une case de consentement ou un hébergement sécurisé ne remplace pas cette analyse.
Quelles données relèvent de l’article 9 ?
L’Art. 9(1) concerne les données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que les données génétiques, certaines données biométriques, la santé, la vie sexuelle et l’orientation sexuelle. La liste et les exceptions figurent dans le texte du RGPD, chapitre II.
La qualification dépend aussi de ce que les informations permettent de déduire. Dans l’affaire C-184/20 du 1er août 2022, la CJUE a retenu que la publication d’une déclaration d’intérêts pouvait révéler indirectement des informations sensibles. Le communiqué officiel de la Cour expose cette conclusion : l’absence d’une rubrique intitulée « données sensibles » ne suffit pas à écarter l’article 9.
Trois distinctions évitent des erreurs :
- Une mesure d’activité physique n’est pas systématiquement une donnée de santé. La CNIL donne l’exemple d’un nombre de pas sans croisement permettant de tirer une conclusion médicale. La nature des données, leur croisement et leur usage doivent être examinés. Voir sa définition des données de santé.
- Une photographie n’est pas automatiquement une donnée biométrique. Il faut un traitement technique spécifique permettant ou confirmant l’identification unique ; l’Art. 9 vise la finalité d’identification unique. Un trombinoscope et une authentification faciale ne s’analysent donc pas de la même façon.
- Une donnée très confidentielle ne relève pas forcément de l’article 9. Le numéro de sécurité sociale et les condamnations pénales ont des régimes particuliers. Le guide des données sensibles aide à distinguer les catégories.
Articuler l’article 6 et l’article 9
La fiche de traitement doit répondre à deux questions distinctes : quelle base légale de l’article 6 autorise l’opération, et quelle exception de l’Art. 9(2) permet de traiter les données particulières ? L’intérêt légitime, à lui seul, ne lève pas l’interdiction de l’article 9.
Raisonnez par finalité, pas par logiciel. Un dossier utilisé pour assurer une prise en charge, répondre à un litige et réaliser une recherche peut nécessiter des analyses différentes. Ne recopiez pas une exception choisie pour les soins sur un usage commercial ultérieur.
Les dix exceptions de l’Art. 9(2)
Le tableau suivant est une synthèse du texte légal de l’article 9. Les conditions doivent être lues intégralement avant de retenir un fondement.
| Exception | Condition déterminante | Vérification pratique |
|---|---|---|
| a — Consentement explicite | Consentement pour des finalités spécifiques, sauf interdiction que le droit applicable ne permet pas de lever | Vérifier la liberté du choix, l’information, la preuve et le retrait ; l’acceptation des CGU ne suffit pas |
| b — Travail et protection sociale | Nécessité pour des obligations ou droits en ces matières, avec autorisation du droit de l’Union, du droit national ou d’une convention collective et garanties appropriées | Identifier le texte et les informations qu’il rend nécessaires |
| c — Intérêts vitaux | Nécessité de protéger une personne incapable physiquement ou juridiquement de consentir | Documenter cette incapacité et le besoin réel ; éviter d’en faire le fondement d’une gestion courante |
| d — Certains organismes sans but lucratif | Activité légitime d’un organisme à finalité politique, philosophique, religieuse ou syndicale, avec garanties | Vérifier le lien avec les membres, anciens membres ou contacts réguliers ; pas de communication externe sans consentement |
| e — Données manifestement publiques | Publication manifeste par la personne elle-même | Ne pas confondre accessibilité en ligne, fuite et décision de rendre public |
| f — Droits en justice | Nécessité pour constater, exercer ou défendre un droit ; exercice juridictionnel également visé | Relier chaque pièce au besoin du dossier, limiter sa circulation |
| g — Intérêt public important | Fondement dans le droit de l’Union ou national, proportionnalité et garanties spécifiques | Une déclaration d’utilité sociale de l’entreprise ne crée pas cette habilitation |
| h — Soins et protection sociale | Finalités médicales, sanitaires ou sociales énumérées, fondement prévu et respect de l’Art. 9(3) | Vérifier les fonctions exercées, le texte ou contrat pertinent et le secret |
| i — Santé publique | Nécessité d’intérêt public sanitaire, fondement légal et mesures spécifiques | Identifier le dispositif applicable et les personnes habilitées |
| j — Archives, recherche, statistiques | Finalités prévues, fondement légal, proportionnalité et garanties de l’Art. 89(1) | Qualifier le projet et les formalités applicables, plutôt que d’invoquer simplement la recherche |
Un organisme sans but lucratif ne bénéficie pas automatiquement du point d. Inversement, il serait inexact d’exclure tout sympathisant au seul motif qu’il n’est pas membre : le texte vise aussi certaines personnes entretenant des contacts réguliers en lien avec les finalités de l’organisme.
Ce que le droit français ajoute
Biométrie au travail : un cadre précis existe
L’article 44, 4° de la loi Informatique et Libertés vise les traitements biométriques strictement nécessaires au contrôle d’accès professionnel, conformes aux règlements types. Il ne faut donc pas présenter la biométrie comme juridiquement impossible dans toute entreprise privée.
La délibération CNIL n° 2019-001 du 10 janvier 2019, notamment ses articles 2 et 3, limite les finalités et impose de justifier pourquoi une solution moins intrusive ne permet pas d’obtenir la sécurité nécessaire. La commodité d’un accès sans badge ne démontre pas cette nécessité.
Santé : contrôler le secret et le cadre sectoriel
L’Art. 9(3) encadre le recours au point h : professionnel soumis au secret, traitement sous sa responsabilité, ou autre personne soumise au secret dans les conditions du texte. Une clause contractuelle ordinaire de confidentialité ne dispense pas d’examiner ce régime.
Le périmètre ne se limite pas à la consultation médicale. Depuis le 27 juin 2026, l’article L. 211-16 du Code de la mutualité et les articles suivants encadrent certains traitements des organismes complémentaires sur le fondement du point h. Les habilitations, finalités et restrictions associées sont détaillées dans le guide RGPD pour les mutuelles.
Les formalités des traitements de santé relèvent notamment de la section comprenant les articles 64 à 77 de la loi Informatique et Libertés ; la recherche comporte des dispositions propres aux articles 72 à 77. Il faut vérifier le régime exact du projet. L’exception de l’article 9 ne vaut pas, à elle seule, autorisation de recherche ou conformité de l’hébergement.
AIPD, DPO et sécurité : vérifier les critères
L’AIPD n’est pas automatique pour toute donnée sensible. L’Art. 35(3)(b) vise notamment le traitement à grande échelle de ces catégories. Il faut aussi examiner le risque élevé, les listes de la CNIL et les autres caractéristiques de l’opération. Consignez l’analyse, y compris lorsqu’elle conclut qu’une AIPD n’est pas requise.
La désignation d’un DPO obéit à ses propres conditions. L’Art. 37(1)(c) porte sur les activités de base consistant en un traitement à grande échelle des catégories concernées. D’autres cas de désignation obligatoire existent. La présence occasionnelle d’une information de santé ne permet pas de conclure automatiquement.
Ces critères et l’exigence de sécurité adaptée au risque figurent dans le chapitre IV du RGPD. Définissez concrètement les accès, transmissions, sauvegardes, journaux et moyens de protection ; vérifiez aussi les exigences sectorielles. Un hébergeur certifié ne choisit pas le fondement juridique à votre place.
Une fiche de décision à conserver
Voici une trame de travail à renseigner pour chaque usage :
| Rubrique | Élément attendu |
|---|---|
| Finalité | Résultat précis recherché et service responsable |
| Qualification | Données présentes, informations déduites et catégories concernées |
| Nécessité | Pourquoi l’objectif ne peut pas être atteint avec moins de données |
| Fondements | Base de l’Art. 6, exception de l’Art. 9(2), texte sectoriel et conditions |
| Destinataires | Fonctions habilitées, prestataires et justification des accès |
| Garanties | Secret, sécurité, durée, information et exercice des droits |
| Analyse complémentaire | Décision AIPD, DPO, formalités et conditions d’hébergement |
| Réexamen | Responsable et événements déclencheurs : nouvel usage, prestataire, données ou texte |
Exemple fictif : une association organise un repas et envisage de demander le diagnostic médical de chaque participant. Avant de choisir une exception, elle doit revoir la collecte : quelle information alimentaire est réellement nécessaire, à qui sera-t-elle transmise, et peut-on organiser le repas avec un dispositif moins intrusif ? L’analyse de nécessité précède le choix d’une case à cocher.
Si un prestataire intervient, son rôle et les instructions doivent être formalisés selon le cadre applicable. Le guide de l’article 28 du RGPD complète cette fiche sans remplacer l’analyse des données sensibles.
Ce qu’il faut retenir
- Une base de l’article 6 et une exception pertinente de l’article 9 sont nécessaires ; elles répondent à des questions différentes.
- Les déductions peuvent révéler des données sensibles, mais toute donnée confidentielle n’appartient pas aux catégories de l’article 9.
- Chaque exception a ses conditions : le consentement n’est ni une solution universelle ni toujours le fondement approprié.
- Le droit français et les règles sectorielles doivent être vérifiés, notamment pour la biométrie et la santé.
- AIPD, DPO, secret et sécurité s’analysent selon leurs critères ; ils ne se déduisent pas d’une simple étiquette « sensible ».
FAQ
Le consentement explicite autorise-t-il tout traitement de santé ?
Non. Il doit être valable pour la finalité, le droit applicable peut empêcher de lever l’interdiction, et les autres obligations restent applicables. D’autres exceptions peuvent être pertinentes, notamment pour les soins ou certaines obligations sociales.
Des données publiques peuvent-elles être réutilisées librement ?
Non. Le point e suppose notamment une publication manifeste par la personne concernée. Même lorsque cette condition est remplie, il faut encore respecter la base légale, la finalité, la minimisation, l’information et les autres règles applicables.
Un sous-traitant peut-il utiliser les données pour son propre produit ?
Pas sur la seule autorisation de traiter pour le compte du client. Une finalité propre nécessite une qualification distincte des rôles et des fondements ; les clauses de sous-traitance ne créent pas une exception supplémentaire à l’article 9.
Un petit fichier de données sensibles impose-t-il une AIPD ?
Le faible volume ne suffit pas à l’exclure, mais la présence de données sensibles ne suffit pas non plus à la rendre automatique. Il faut examiner le risque, les cas légaux et les listes applicables, puis documenter la décision.
Recevez nos analyses pratiques sur le RGPD et la conformité.
Thiébaut Devergranne, Docteur en droit privé (Paris II), plus de 20 ans d’expérience en droit des nouvelles technologies. Fondateur de donneespersonnelles.fr et de Legiscope.