Donnée sensible RGPD : définition et distinctions

Une donnée sensible au sens du RGPD appartient à l’une des catégories particulières de l’Art. 9(1). Ce régime ne couvre pas automatiquement tout document confidentiel. Il faut examiner l’information relative à la personne, ce qu’elle révèle et le traitement envisagé, puis distinguer cette qualification du niveau de sécurité nécessaire.

La liste des catégories particulières

La définition de la CNIL reprend ces catégories. Elles sont limitatives, mais peuvent apparaître indirectement : la qualification ne dépend pas du seul nom du champ dans le logiciel.

Ce qui est confidentiel sans relever automatiquement de l’Art. 9

Un mot de passe, un IBAN ou un montant de rémunération nécessite une protection adaptée. Ces éléments ne sont pas, par leur seule nature, une nouvelle catégorie de l’Art. 9. Cela ne les rend ni librement diffusables ni sans risque.

Le contenu et le contexte comptent toutefois. Un historique de paiements peut révéler certaines informations protégées ; il serait donc trop absolu d’affirmer que les données financières ne peuvent jamais contenir de données sensibles. Analysez ce que la série d’opérations permet de connaître.

De même, une nationalité n’est pas automatiquement une origine ethnique. Une photographie n’est pas automatiquement une donnée biométrique traitée pour identifier une personne de manière unique. Examinez le procédé technique, sa finalité et les autres informations éventuellement révélées. La définition des données biométriques figure à l’Art. 4(14), au chapitre I du RGPD.

Les données de santé dépassent le dossier médical

La CNIL définit largement les données de santé : elles peuvent concerner la santé physique ou mentale passée, présente ou future. La source n’a pas besoin d’être un médecin.

Trois raisonnements sont utiles : la donnée révèle directement la santé ; son croisement avec d’autres éléments permet une conclusion sur la santé ; ou son usage médical lui donne cette nature. Une mesure isolée ne doit donc pas être qualifiée sans contexte, mais les rapprochements ne doivent pas être ignorés.

Lors d’un inventaire, examinez les champs libres, les pièces jointes et les règles de segmentation. Un fichier dépourvu de colonne « santé » peut contenir un justificatif médical. Un outil qui déduit un état de santé appelle une analyse de ce traitement même si les données de départ semblaient ordinaires.

Les données pénales relèvent d’un autre article

Les condamnations pénales, infractions et mesures de sûreté connexes relèvent de l’Art. 10. Leur traitement fondé sur l’Art. 6(1) doit être effectué sous le contrôle de l’autorité publique ou autorisé par le droit de l’Union ou d’un État membre prévoyant des garanties. Un registre complet des condamnations ne peut être tenu que sous le contrôle de l’autorité publique. Source : Art. 10.

Il ne faut donc pas leur appliquer la liste d’exceptions de l’Art. 9 comme si les régimes étaient identiques. En particulier, recueillir un accord explicite n’est pas, à lui seul, la réponse au traitement d’informations pénales.

Ce que change la qualification

Pour les catégories de l’Art. 9, le traitement est interdit par principe. Il faut identifier une exception de l’Art. 9(2), en plus de la base légale de l’Art. 6. Les exceptions ont chacune leurs conditions : le fait qu’une donnée soit accessible sur internet ne signifie pas nécessairement qu’elle a été manifestement rendue publique par la personne.

Les garanties de secret de l’Art. 9(3) se rattachent au point h de l’Art. 9(2). Le point i relatif à la santé publique prévoit ses propres exigences de fondement légal et de garanties, notamment le secret professionnel. Il faut lire le fondement exact, sans généraliser une condition à toutes les situations.

La méthode de gestion des données sensibles développe la décision de traitement. Elle comprend aussi minimisation, formalités éventuelles, information, droits, sécurité et conservation. Un traitement à grande échelle de ces catégories fait notamment partie des cas d’AIPD de l’Art. 35(3)(b), sans que toute présence d’une donnée sensible suffise à imposer automatiquement la même analyse.

Une fiche pour décider sans surclasser ni oublier

Pour chaque information discutée, notez : ce qu’elle décrit, à quelle personne elle se rapporte, ce qu’un rapprochement permet de révéler, la catégorie juridique retenue et sa justification. Ajoutez le traitement envisagé et les acteurs qui peuvent y accéder.

En cas d’incertitude, limitez les accès pendant l’analyse et demandez l’expertise nécessaire. La prudence opérationnelle ne dispense pas d’une qualification motivée. Les données personnelles ordinaires restent elles aussi protégées par le RGPD.

Six qualifications commentées pour votre inventaire

Les exemples suivants sont fictifs. Ils montrent pourquoi il faut décrire l’information et son utilisation, plutôt que classer tout un logiciel comme « sensible » ou « non sensible ».

Une qualification doit rester liée aux faits décrits. Si le portrait sert ensuite à produire un gabarit d’authentification, l’analyse de la quatrième ligne ne couvre pas ce nouvel usage. Si une adresse indique aussi, dans son contexte, une prise en charge médicale déterminée, elle ne se réduit plus nécessairement à un simple point de livraison.

Cette méthode repose sur les définitions de l’Art. 4(13) à (15) et sur les Art. 9(1) et 10, pas sur une liste commerciale de champs « à risque ».

Un champ libre peut changer la nature du dossier

Prenons le service après-vente fictif d’Atelier Lin. Une cliente demande de décaler une livraison et décrit spontanément son traitement médical. Pour organiser la nouvelle date, l’équipe a besoin de la demande de report et de la date convenue. Le diagnostic détaillé n’apporte rien à cette opération.

Le responsable ne peut pas conclure : « c’est un fichier commercial, il ne contient donc aucune donnée de santé ». Il ne peut pas davantage déduire un consentement explicite à tous les usages du simple envoi du message. Le consentement explicite de l’Art. 9(2)(a) porte sur des finalités spécifiques et reste soumis aux conditions applicables au consentement. Une information arrivée spontanément ne donne pas une autorisation générale de profilage ou de prospection.

Fiche de qualification Q-38 renseignée

• Information reçue : explication médicale dans un courriel de report, rattachée à une cliente identifiée.
• Catégorie : donnée de santé ; la source est la cliente, non un professionnel de santé.
• Besoin commercial : convenir d’une nouvelle date et conserver la trace utile de cet accord.
• Donnée nécessaire au suivi courant : référence de commande, demande de report et date acceptée ; pas le détail médical.
• Décision proposée : ne pas recopier l’explication dans le CRM, ne pas créer de segment médical, organiser le retrait de la partie superflue selon le circuit applicable aux messages et copies.
• Réserve : examiner séparément un éventuel besoin concret de preuve avant toute conservation exceptionnelle ; aucun litige n’est supposé dans cet exemple.

La fiche ne constitue pas une autorisation de stocker le diagnostic le temps d’inventer un usage. Le service doit traiter l’arrivée de contenus inutiles, restreindre leur exposition et définir leur retrait. Une consigne dans le formulaire peut prévenir de futurs envois ; elle ne règle pas le sort du courriel déjà reçu ou de la copie créée dans un ticket.

Si un litige réel rend certaines informations nécessaires à la défense d’un droit, l’analyse peut changer. Il faut alors préciser les pièces nécessaires, la base de l’Art. 6 et les conditions de l’Art. 9(2)(f), avec une conservation et des accès limités à ce besoin. La possibilité théorique d’un procès ne justifie pas l’archivage permanent de toutes les explications médicales des clients.

Ne pas confondre une déduction avec un fait établi

Une personne choisit un repas sans un ingrédient. Ce choix peut répondre à une préférence, une allergie ou une autre raison. Enregistrer le menu demandé n’autorise pas à remplir automatiquement un champ « allergie » ou « religion ». Si l’organisme cherche précisément à déduire une information de santé ou une conviction, il doit analyser ce traitement et la catégorie particulière visée ; l’incertitude de l’inférence n’est pas un moyen de contourner l’Art. 9.

L’exactitude reste un problème distinct : une supposition enregistrée comme diagnostic certain peut conduire à des décisions erronées. La qualification juridique ne valide donc ni la fiabilité du résultat, ni sa nécessité. Le principe de minimisation peut conduire à conserver le choix pratique utile sans collecter ou inférer son explication intime. Source : Art. 5(1)(c) et (d), Art. 9(1).

Votre inventaire doit enfin préciser où la donnée apparaît : champ structuré, commentaire, pièce jointe, transcription ou résultat calculé. Cette localisation permet de revoir les accès et les copies réellement concernés. Ajouter simplement une étiquette « sensible » au registre, sans identifier ces emplacements ni le traitement qui les utilise, ne permet pas de maîtriser la situation.

Ce qu’il faut retenir

• Les catégories particulières de l’Art. 9 et les données pénales de l’Art. 10 sont distinctes.
• Une information peut révéler une catégorie protégée par son contexte ou par rapprochement.
• Un document confidentiel ne relève pas automatiquement de l’Art. 9.
• La qualification détermine le cadre juridique ; le risque détermine aussi les mesures adaptées.

FAQ

Un IBAN est-il une donnée sensible au sens de l’Art. 9 ?

Pas par sa seule nature. Il reste une donnée personnelle à protéger et son contexte peut contenir ou révéler d’autres informations soumises à un régime particulier.

Une photo est-elle toujours une donnée biométrique sensible ?

Non. Il faut notamment examiner le traitement technique et la finalité d’identification unique. La photographie peut par ailleurs révéler d’autres informations de l’Art. 9 selon le contexte.

Une donnée envoyée spontanément peut-elle être sensible ?

Oui. Le mode de transmission ne change pas sa qualification. Il faut encore vérifier la nécessité de la conserver et les conditions légales du traitement.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.