Donnée sensible RGPD : liste, articles 9 et 10 (2026)

L’essentiel. Une donnée sensible RGPD est une donnée listée aux articles 9 et 10 du règlement (santé, opinions, biométrie, orientation sexuelle, condamnations pénales…). Son traitement est interdit par principe : il n’est possible que si vous relevez d’une des dix exceptions de l’article 9.2 (dont le consentement explicite) en plus d’une base légale de l’article 6, avec des obligations de sécurité et de documentation renforcées.

On parle de donnée sensible RGPD pour désigner une série de catégories de données dont le traitement crée des risques particuliers pour les personnes concernées. Le règlement en dresse une liste fermée (article 9), y ajoute un régime distinct pour les données pénales (article 10), et impose à ces deux ensembles un régime juridique nettement plus strict que celui applicable aux données personnelles ordinaires.

L’enjeu est loin d’être théorique. La qualification « donnée sensible » déclenche en cascade une interdiction de principe, une exigence de double fondement juridique, une analyse d’impact souvent obligatoire, des mesures de sécurité renforcées et un plafond de sanction plus élevé. Se tromper sur cette qualification, c’est bâtir toute sa conformité sur un socle défaillant. Cet article vous donne la liste exacte, le régime applicable et une méthode pour vous mettre en conformité.

Qu’est-ce qu’une donnée sensible au sens du RGPD ?

Le RGPD n’emploie pas l’expression « données sensibles » dans son dispositif : il parle de « catégories particulières de données à caractère personnel » (article 9). L’usage courant a retenu le raccourci « données sensibles », mais il faut garder à l’esprit que la notion est juridiquement définie et limitative : seules les catégories expressément énumérées relèvent du régime spécial.

C’est une distinction essentielle. Beaucoup d’organisations considèrent, à juste titre sur le plan opérationnel, que certaines de leurs données sont « sensibles » : coordonnées bancaires, salaires, secrets d’affaires, mots de passe. Ces données sont effectivement à protéger, mais elles ne sont pas des données sensibles au sens du RGPD si elles ne figurent pas dans la liste des articles 9 ou 10. Elles restent soumises au régime de droit commun. Confondre les deux conduit soit à sur-protéger des données ordinaires, soit — bien plus dangereux — à croire qu’on est libre de traiter des données de santé ou biométriques comme n’importe quelle donnée client.

La liste des données sensibles (article 9 RGPD)

L’article 9 du RGPD énumère les catégories dont le traitement révèle des informations particulièrement intimes ou susceptibles de générer des discriminations. La liste vise toute donnée faisant apparaître, de manière directe ou indirecte :

Catégorie (art. 9.1)	Exemples concrets
Origine raciale ou ethnique	Mention de la nationalité d’origine, photo révélant l’appartenance ethnique, langue maternelle traitée à cette fin
Opinions politiques	Appartenance à un parti, dons politiques, participation à une manifestation fichée
Convictions religieuses ou philosophiques	Régime alimentaire confessionnel, aumônerie, objection de conscience
Appartenance syndicale	Adhésion à un syndicat, prélèvement de cotisation syndicale sur bulletin de paie
Données génétiques	Résultats d’un test ADN, séquençage, analyse de prédisposition héréditaire
Données biométriques (à fin d’identification unique)	Empreinte digitale, reconnaissance faciale, gabarit de la voix utilisé pour authentifier
Données concernant la santé	Diagnostic, arrêt maladie, handicap, taux d’invalidité, données d’une application de suivi médical
Vie sexuelle ou orientation sexuelle	Préférences, situation matrimoniale révélatrice, données d’une application de rencontre

À cette liste, l’article 10 ajoute un ensemble voisin mais distinct, soumis à un régime propre (voir plus bas) : les données relatives aux condamnations pénales, aux infractions et aux mesures de sûreté.

Deux précisions qui changent tout

Une donnée biométrique n’est sensible que si elle est traitée aux fins d’identifier une personne de manière unique. Une photo de profil sur un trombinoscope n’est pas, en soi, une donnée biométrique sensible. En revanche, un gabarit facial exploité par un système de reconnaissance faciale pour authentifier l’accès à un bâtiment l’est. La finalité d’identification unique est le déclencheur.

Les données de santé s’entendent au sens large. Il ne s’agit pas seulement des dossiers médicaux. La CNIL et la jurisprudence retiennent une acception extensive : dès qu’une donnée révèle un état de santé passé, présent ou futur, physique ou mental, elle est concernée.

Données sensibles par inférence : l’interprétation extensive

Le point le plus mal compris du régime des données sensibles tient à sa dimension indirecte. Une donnée qui, prise isolément, semble anodine peut devenir sensible parce qu’elle permet de déduire une information protégée.

L’illustration historique remonte à l’arrêt Lindqvist de la Cour de justice de l’Union européenne, en 2003 : la Cour a jugé que le fait d’indiquer sur un site qu’une personne « s’était blessée au pied et travaillait à mi-temps pour raisons médicales » constituait un traitement de données concernant la santé. Une simple mention dans un dossier RH — « absente, entorse » — bascule ainsi dans le régime de l’article 9.

Cette logique a été confirmée et étendue depuis. Dans un arrêt de 2022, la Cour de justice a considéré que la publication de données permettant, par recoupement, de déduire l’orientation sexuelle d’une personne (par exemple le nom de son conjoint) relève des catégories particulières de l’article 9. Autrement dit : vous pouvez traiter des données sensibles sans le savoir, simplement parce que la combinaison de champs apparemment neutres révèle une information protégée.

Conséquence pratique : lors d’un audit RGPD, il ne suffit pas de chercher les champs explicitement étiquetés « santé » ou « religion ». Il faut se demander, traitement par traitement, ce que les données permettent de déduire.

Le régime de l’article 10 : les données pénales

Les données relatives aux condamnations pénales, infractions et mesures de sûreté suivent un régime distinct de l’article 9, plus restrictif encore sur un point : leur traitement ne peut être effectué que sous le contrôle de l’autorité publique, ou lorsqu’il est autorisé par le droit de l’Union ou le droit national prévoyant des garanties appropriées.

En droit français, la loi Informatique et Libertés encadre strictement qui peut traiter ces données (juridictions, auxiliaires de justice, victimes pour la défense de leurs droits, personnes morales pour la gestion d’un contentieux les concernant, etc.). Une entreprise qui souhaiterait, par exemple, filtrer ses candidats sur la base d’un extrait de casier judiciaire ne peut le faire que dans les cas où un texte l’y autorise expressément. En dehors de ces hypothèses, la collecte est illicite.

Le principe : interdiction, sauf exception (article 9.1 et 9.2)

Voici le mécanisme juridique à retenir, car il est contre-intuitif. Pour une donnée ordinaire, la logique est : je peux traiter si j’ai une base légale. Pour une donnée sensible, la logique s’inverse : le traitement est interdit (article 9.1), sauf si je relève de l’une des dix exceptions de l’article 9.2.

Ces deux étapes se cumulent — c’est le double verrou :

1. Une base légale de l’article 6 (consentement, contrat, obligation légale, intérêt légitime, mission d’intérêt public, intérêts vitaux) ;
2. ET une exception de l’article 9.2 qui lève l’interdiction de principe.

Avoir l’un sans l’autre ne suffit pas. Le consentement simple qui fonde un traitement ordinaire ne vaut rien ici s’il n’est pas un consentement explicite au sens de l’article 9.2.a. Pour approfondir l’articulation générale, consultez notre guide sur la base légale RGPD.

Les 10 exceptions de l’article 9.2

Fondement (art. 9.2)	Condition d’application
a — Consentement explicite	La personne a consenti explicitement, pour une ou plusieurs finalités déterminées
b — Droit du travail / sécurité sociale	Obligations et droits en matière de droit social, sous garanties appropriées
c — Intérêts vitaux	La personne est physiquement ou juridiquement incapable de consentir
d — Organismes à but non lucratif	Association politique, philosophique, religieuse ou syndicale, pour ses membres
e — Données manifestement rendues publiques	Par la personne concernée elle-même
f — Justice	Constatation, exercice ou défense d’un droit en justice
g — Intérêt public important	Sur la base du droit de l’Union ou national, proportionné
h — Santé	Médecine préventive/du travail, diagnostic, soins, gestion des systèmes de santé
i — Santé publique	Menaces sanitaires transfrontalières, qualité des soins
j — Archivage, recherche, statistiques	Fins d’archivage, de recherche scientifique/historique ou statistiques

Deux garde-fous importants encadrent ces exceptions. D’abord, les fondements h et i (santé) ne peuvent être invoqués que si les données sont traitées par un professionnel soumis au secret (ou sous sa responsabilité), en vertu de l’article 9.3. Ensuite, plusieurs exceptions (b, g, h, i, j) supposent l’existence d’un texte de droit de l’Union ou national qui les autorise et prévoit des garanties : elles ne sont pas mobilisables librement.

Le consentement explicite en détail

C’est l’exception la plus utilisée hors secteur santé, et la plus mal exécutée. L’article 9.2.a exige un consentement explicite — un cran au-dessus du consentement « ordinaire » exigé par l’article 6.

Concrètement, cela signifie :

• Une déclaration active et non équivoque de la personne, portant spécifiquement sur les données sensibles concernées ;
• Une information claire sur la finalité précise du traitement de ces données ;
• Une case à cocher dédiée, ou une signature, distincte du consentement global — jamais une case pré-cochée, jamais un consentement noyé dans des conditions générales.

Le consentement doit rester révocable aussi facilement qu’il a été donné. Pour construire un mécanisme de recueil conforme, notre guide du consentement RGPD détaille les critères et les pièges. Attention : dans une relation déséquilibrée (employeur/salarié notamment), la validité du consentement est fragile, car il est rarement « librement donné ». Mieux vaut alors s’appuyer sur un autre fondement (obligation légale, droit du travail).

Les obligations renforcées quand vous traitez des données sensibles

Une fois le double verrou levé, le travail ne fait que commencer. Le régime général du RGPD s’applique, mais à un niveau d’exigence supérieur, parce que les risques pour les personnes sont plus élevés.

Analyse d’impact (AIPD) souvent obligatoire. Le traitement à grande échelle de données sensibles figure parmi les critères qui rendent l’analyse d’impact obligatoire (article 35). La CNIL a par ailleurs publié une liste de traitements pour lesquels une AIPD est systématiquement requise ; plusieurs concernent des données sensibles :

• Traitements de données de santé mis en œuvre par les établissements de santé ou médico-sociaux pour la prise en charge des personnes ;
• Traitements de données génétiques de personnes « vulnérables » (patients, employés, enfants) ;
• Traitements ayant pour finalité la gestion des alertes et signalements en matière sociale et sanitaire ;
• Traitements de données de santé nécessaires à un entrepôt de données ou un registre ;
• Traitements biométriques d’identification unique incluant des personnes vulnérables (élèves, patients, personnes âgées, demandeurs d’asile) ;
• Traitements ayant pour finalité l’accompagnement social ou médico-social.

Minimisation renforcée. Le principe de minimisation impose de ne collecter que le strict nécessaire. Sur des données sensibles, la CNIL attend une justification champ par champ : chaque donnée de santé conservée doit être indispensable à la finalité.

Sécurité renforcée. Chiffrement, cloisonnement des accès, journalisation, pseudonymisation lorsque c’est possible : les mesures de sécurité doivent être proportionnées au risque, donc plus strictes. Une fuite de données de santé est parmi les violations les plus lourdement sanctionnées.

Durées de conservation strictes. Les durées doivent être justifiées et limitées ; référez-vous à notre tableau des durées de conservation pour calibrer vos règles.

DPO. Le traitement à grande échelle de données sensibles fait partie des trois cas où la désignation d’un délégué à la protection des données est obligatoire : voir notre analyse du DPO obligatoire.

Documenter tout cela suppose un registre à jour et une traçabilité fine. Cartographier finement les traitements de données sensibles, distinguer les fondements article 6 et article 9 et suivre les AIPD associées est un travail récurrent : un logiciel RGPD permet d’industrialiser cette cartographie et de conserver la piste d’audit exigée par le principe de responsabilité.

Checklist de conformité pour un traitement de données sensibles

Avant de lancer (ou de régulariser) un traitement portant sur des données des articles 9 ou 10, vérifiez chaque point :

1. Qualification. Ai-je identifié toutes les données sensibles, y compris celles révélées par inférence ?
2. Interdiction / exception. Est-ce que je relève clairement d’une des dix exceptions de l’article 9.2 (ou du régime de l’article 10) ?
3. Base légale. Ai-je aussi une base légale valable au titre de l’article 6 (double verrou) ?
4. Consentement explicite. Si je m’appuie sur le consentement : est-il explicite, spécifique, tracé et révocable ?
5. Secret professionnel. Pour les données de santé : le traitement est-il fait par ou sous la responsabilité d’un professionnel tenu au secret ?
6. Minimisation. Chaque champ sensible est-il indispensable ?
7. AIPD. Une analyse d’impact est-elle requise, et l’ai-je réalisée ?
8. Sécurité. Chiffrement, habilitations, journalisation sont-ils en place et proportionnés ?
9. Durées. Les durées de conservation sont-elles définies et justifiées ?
10. Information. Les personnes sont-elles informées du traitement de leurs données sensibles et de leurs droits ?

Checklist indicative fournie à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 2026-07.

Sanctions : pourquoi l’enjeu est plus lourd

Le traitement illicite de données sensibles relève des manquements les plus sévèrement réprimés. Il expose au plafond le plus élevé du RGPD : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83.5). Les manquements portant sur des données de santé, biométriques ou révélant les opinions figurent régulièrement parmi les décisions de la CNIL et des autres autorités européennes, avec des montants significatifs.

Au-delà de l’amende, une mauvaise gestion des données sensibles expose à un risque réputationnel majeur (fuite de données médicales) et à des actions individuelles ou collectives. Pour un panorama, consultez notre guide des sanctions RGPD et suivez l’actualité RGPD 2026.

Questions fréquentes

Une adresse email est-elle une donnée sensible ?

Non, pas en principe. Une adresse email est une donnée personnelle ordinaire. Elle ne devient sensible que si elle révèle une information protégée — par exemple contact@parti-politique.fr traité pour cibler des opinions politiques, ou une adresse d’un établissement de soins associée à un patient. C’est le contenu révélé, pas le format, qui compte.

Les données bancaires sont-elles des données sensibles RGPD ?

Non. Un IBAN, un numéro de carte ou un montant de salaire ne figurent pas dans la liste des articles 9 et 10. Ce sont des données personnelles à protéger avec soin, mais elles relèvent du régime de droit commun. L’expression « données sensibles » au sens du RGPD est strictement limitée aux catégories énumérées.

Peut-on traiter des données de santé avec le simple consentement du client ?

Le consentement peut fonder un traitement de données de santé, mais il doit être explicite (art. 9.2.a) et « librement donné ». Dans un cadre médical ou de soins, on s’appuie souvent plutôt sur le fondement « santé » de l’article 9.2.h, qui suppose un professionnel soumis au secret. Un cabinet médical, par exemple, ne fonde pas la tenue du dossier patient sur le consentement mais sur ce fondement dédié.

Une photo est-elle une donnée sensible ?

Une photographie ordinaire est une donnée personnelle, pas une donnée sensible en soi. Elle le devient si elle est traitée pour en extraire un gabarit biométrique aux fins d’identification unique (reconnaissance faciale), ou si elle révèle une information de l’article 9 (origine ethnique, état de santé visible, appartenance religieuse via un signe). Le contexte et la finalité sont déterminants.

Quelle différence entre données sensibles et données pénales ?

Les données sensibles relèvent de l’article 9 (santé, opinions, biométrie…) et connaissent le régime interdiction/exceptions de l’article 9.2. Les données pénales (condamnations, infractions, mesures de sûreté) relèvent de l’article 10 : leur traitement suppose en principe le contrôle de l’autorité publique ou une autorisation légale expresse. Les deux régimes sont voisins mais juridiquement distincts.

Comment savoir si mon traitement porte sur des données sensibles ?

Passez chaque traitement de votre registre au crible de deux questions : (1) contient-il un champ correspondant directement à une catégorie des articles 9 ou 10 ? (2) la combinaison des champs permet-elle de déduire une telle information ? Si la réponse est oui à l’une des deux, appliquez le régime renforcé. En cas de doute sur la qualification, une analyse au cas par cas — idéalement dans le cadre d’un audit RGPD — est indispensable.