Donnée sensible et RGPD : le guide pour vous mettre en conformité

Le RGPD protège toutes les données personnelles, mais il réserve un régime à part à une poignée d'entre elles : les données sensibles, que le texte appelle « catégories particulières de données à caractère personnel ». Leur traitement est interdit par principe (article 9 du RGPD), sauf dans dix cas limitativement énumérés.

Pour un DPO, l'enjeu est opérationnel : repérer ces données dans le registre, documenter l'exception qui en autorise le traitement, et savoir quand elles imposent une AIPD ou la désignation d'un DPO. Ce guide commence par la liste, puis détaille les exceptions, les obligations qui en découlent et le régime voisin des données d'infraction.

Liste des données sensibles (article 9 du RGPD)

L'article 9.1 du RGPD dresse une liste fermée. Sont des données sensibles les données qui révèlent ou concernent :

• l'origine raciale ou ethnique ;
• les opinions politiques ;
• les convictions religieuses ou philosophiques ;
• l'appartenance syndicale ;
• les données génétiques (définies à l'article 4.13) ;
• les données biométriques traitées aux fins d'identifier une personne physique de manière unique (article 4.14) ;
• les données concernant la santé, physique ou mentale, y compris les prestations de soins (article 4.15) ;
• la vie sexuelle ou l'orientation sexuelle.

La liste est limitative : une donnée qui n'y figure pas n'est pas une donnée sensible au sens de l'article 9, même si sa fuite serait grave. Les données relatives aux condamnations pénales et aux infractions relèvent d'un régime voisin mais distinct, celui de l'article 10 du RGPD, détaillé plus bas.

Laquelle de ces données est sensible ? Les cas qui reviennent le plus

• Groupe sanguin, traitement médical, reconnaissance de la qualité de travailleur handicapé (RQTH) : oui, ce sont des données de santé.
• Empreinte digitale utilisée pour un contrôle d'accès : oui, c'est une donnée biométrique dès lors qu'elle sert à identifier la personne de manière unique.
• Photographie d'identité : non, par principe. Le considérant 51 du RGPD précise qu'une photographie n'est une donnée biométrique que si elle est traitée par un moyen technique spécifique permettant l'identification unique, comme la reconnaissance faciale.
• Cotisation syndicale prélevée sur la paie : oui, elle révèle l'appartenance syndicale.
• Numéro de sécurité sociale, coordonnées bancaires, revenus, géolocalisation : non. Ces données ne figurent pas à l'article 9, mais elles sont considérées comme hautement personnelles et pèsent dans l'analyse de risque. Le numéro de sécurité sociale relève en outre d'un encadrement national prévu par l'article 87 du RGPD.
• Condamnation pénale, casier judiciaire : pas au sens de l'article 9, mais soumises au régime de l'article 10, tout aussi strict.

Données personnelles et données sensibles au sens du RGPD : quelles différences ?

Avant d'aborder la notion de donnée sensible, il est essentiel de définir, celle, plus large, de donnée personnelle.

La donnée personnelle : la notion clé du RGPD

La donnée personnelle est une notion volontairement large et exhaustive. En vertu de l'article 4 RGPD, il s'agit de toute information se rapportant à une personne physique identifiée ou identifiable directement ou indirectement.

Ces données sont celles qui permettent :

• une identification directe : nom, prénom, photographie, adresse postale, adresse email etc.
• une identification indirecte: numéro de sécurité social, adresse IP, numéro de téléphone, identifiants clients, comportement de navigation, plaque d'immatriculation etc.

L'identification d'une personne peut se faire à partir d'une donnée seule, par exemple via l'ADN, ou par croisement des données personnelles.

Par exemple, les informations selon lesquelles un individu est abonné au magazine Gloire & Beauté, qu'il réside au 2 Boulevard Schrem au Luxembourg, et qu'il est né le 16 juillet 1978 est un croisement de données personnelles permettant in fine d'identifier une personne physique.

Qu'est-ce qu'un traitement de données personnelles ?

L'article 4 RGPD définit un traitement de données personnelles comme toute opération sur une donnée à caractère personnel : collecte, enregistrement, utilisation, transmission, pseudonymisation, destruction etc.

Un traitement est tout ce qui peut possiblement être fait sur une donnée personnelle.

💡 Pour rappel, pour être licite, un traitement de données personnelles doit reposer sur un fondement juridique (ou base légale) comme par exemple le consentement de la personne.

Il doit également poursuivre une finalité, c'est à dire un objectif déterminé. Vous ne pouvez pas collecter et stocker des données personnelles "au cas où".

Enfin, vous devez vous astreindre à ne collecter que les données personnelles strictement nécessaires à remplir cette finalité. Ce principe est encore appelé minimisation des données.

→ Concrètement, vous ne pouvez pas demander à un candidat pour un poste, la profession de ses parents car ce n'est pas nécessaire (minimisation) pour la finalité (le recrutement).

Qu'est-ce qui n'est pas une donnée personnelle ?

La notion de données personnelles ne concerne que celles relatives à une personne physique. Sont donc exclues de cette définition toutes les données se rapportant à une personne morale : entreprise, organisme privé ou public, État etc.

⚠️ Même dans une relation B2B il y a de la donnée à caractère personnel dans la mesure où derrière une entreprise se cache toujours une personne physique. Et dans ce cas, la donnée personnelle sera relative à l'email professionnel et l'identité de la personne physique représentant l'entreprise.

RGPD : qu'est-ce qu'une donnée sensible ?

Parmi les données à caractère personnel, l'article 9 du RGPD isole les catégories listées plus haut et en interdit le traitement, sauf exceptions. Ce qui les distingue n'est pas leur caractère confidentiel, mais le risque important qu'elles font peser sur les libertés et droits fondamentaux de la personne, notamment le risque de discrimination (considérant 51).

En vérité, les catégories de données listées à l'article 9 RGPD sont extrêmement larges. Par exemple :

• La photo ou le nom d'un candidat à un emploi, peuvent contenir des informations sur ses origines ethniques et raciales que l'employeur traite lors de la procédure de recrutement.
• L'achat d'un livre religieux est une information relative aux convictions religieuses qu'un site de e-commerce peut être amené à traiter.
• Les données de santé correspondent à une catégorie particulièrement large : identité du médecin en charge de cette personne, type de traitement pris, état de santé passé, présent et futur etc.

👉 Les données de santé font l'objet d'obligations RGPD spécifiques et renforcées. Pour aller plus loin : RGPD et données de santé : guide complet de conformité pour les établissements de santé.

Comment savoir si vous traitez une donnée sensible ? Tout dépend du contexte !

→ Le groupe 29 (organe consultatif de l'Union européenne sur la protection des données), dans son rapport, explique que le risque de traitement de données sensibles dépend "non pas du contenu des données elles-mêmes mais du contexte dans lequel elles sont utilisées" à l'exception de "certaines catégories de données peut, en tant que tel, porter préjudice aux droits et intérêts des individus".

• Les catégories de données considérées comme sensibles en tant que telles sont les données biométriques, génétiques et certaines données de santé qui comportent un risque pour la vie privée en elles-mêmes. Pour ces données, seules les exceptions prévues au paragraphe suivant permettent un traitement de ces données.
• Pour le reste, c'est la finalité du traitement qui va être déterminant pour la qualification de donnée sensible.

Comment traiter des données sensibles dans le cadre strict du RGPD ?

RGPD et données sensibles : une interdiction de traitement

La réponse simple serait : "PAS", vous ne devriez pas traiter les données sensibles, quand bien même vous avez déterminé une finalité et une base légale.

En effet, l'article 9 RGPD prévoit que le traitement des données à caractère personnel sensible est interdit. Il s'agit d'une interdiction de principe.

Mais qui dit principe, dit exception ! A quelles conditions pouvez-vous traiter des données sensibles ?

Données sensibles : les exceptions à l'interdiction de traitement

L'article 9.2 du RGPD prévoit dix exceptions, et seulement dix. Vous êtes autorisé à collecter et à utiliser des données sensibles uniquement dans l'un des cas suivants :

a) Le consentement explicite de la personne concernée

L'interdiction est levée lorsque la personne concernée a donné son consentement explicite pour une ou plusieurs finalités précises, sauf si le droit de l'Union ou d'un État membre prévoit que la personne ne peut pas lever l'interdiction.

💡 Pour rappel, le consentement désigne toute manifestation de volonté libre, univoque et par un acte positif. Cela signifie que le consentement doit pouvoir être exprimé librement, en connaissance de cause et de manière explicite. Tout en sachant que le consentement peut être retiré à tout moment.

👉 Pour comprendre toutes les exigences du consentement valide selon le RGPD, consultez notre guide : L'importance du consentement explicite dans le RGPD.

Dans certains cas, le consentement de la personne concernée ne permet pas le traitement des données personnelles sensibles :

• Le consentement ne peut pas permettre le traitement de données personnelles relatives aux condamnations pénales.
• Le consentement n'est pas admis dans les situations de dépendance vis-à-vis du responsable de traitement, par exemple l'employeur ou futur employeur est le responsable de traitement.

b) Les obligations en matière de droit du travail et de protection sociale

Cette exception concerne les situations où un responsable de traitement, par exemple un employeur, collecte des données pour les besoins d'un contrat en droit du travail, de la sécurité sociale ou de la protection sociale.

Par exemple, dans le cadre d'un contrat de travail, l'employeur est amené à traiter des données relatives à la santé de ses employés dans le cadre des arrêts maladie.

💡 Pour rappel, les données à caractère personnel doivent être traitées de manière pertinente et limitée à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (article 5 RGPD). Ce principe est encore appelé "minimisation des données".

Ainsi, si l'on reprend notre exemple, si cette exception permet à l'employeur de collecter certaines données relatives à l'arrêt maladie d'un salarié, il n'est pas admis de traiter des données relatives à son traitement médicamenteux par exemple car cette donnée n'est pas nécessaire dans une relation de travail.

c) La sauvegarde des intérêts vitaux

Cette exception désigne les situations spécifiques liées au sauvetage de vie humaine (par exemple connaître le groupe sanguin d'une personne inconsciente), activités humanitaires ou gestion d'une épidémie.

Par hypothèse, cette exception ne concerne donc que les organismes de santé, États, organisations internationales, organismes investis d'une mission de service public.

d) Les fondations, associations et organismes à but non lucratif

Ici aussi, le RGPD fait référence à un cas spécifique où le traitement est effectué par une fondation, association, organisme à but non lucratif.

L'article 9 prévoit que cette exception n'est admise que lorsque

• Le but de l'organisation n'est pas lucratif,
• La finalité est politique, philosophie, religieuse ou syndicale,
• Le traitement est relatif aux membres ou personnes liées contractuellement à l'organisation,
• Les données ne peuvent être communiquées en dehors de l'organisation sans le consentement des personnes concernées.

Par exemple, un parti politique peut traiter les données personnelles relatives aux positions politiques de ses membres lorsque ces informations ne sont pas communiquées en dehors du parti sans le consentement de la personne concernée.

Cette exception est compréhensible dans la mesure où un groupe syndicale, une organisation politique, une ONG est naturellement amené à traiter les opinions politiques, philosophiques, syndicales ou religieuses de ses membres.

e) Les données manifestement rendues publiques par la personne

Assez simplement, il est logique de considérer que du moment où la personne concernée rend publique elle-même l'information en cause, la protection qui lui ait accordé n'a plus aucune utilité.

Par exemple, le Conseil d'Etat a constaté qu'une personne ne pouvait pas demander la suppression ou le déréférencement de données relatives à sa sexualité sur Google dès lors que ces informations "sont issues du roman à caractère autobiographique" de la personne concernée et qu'ainsi "les données en cause doivent être regardées comme ayant été manifestement rendues publiques". Pour en savoir plus sur la décision, c'est par ici.

f) La constatation, l'exercice ou la défense d'un droit en justice

Par nature, cette exception concerne en particulier les professions réglementées du droit telles que les avocats, notaires, magistrats (tribunaux, cours, etc.), huissiers etc.

Cette exception se comprend d'autant plus que ces métiers sont soumis au secret professionnel empêchant toute divulgation de ces données.

g) Les motifs d'intérêt public important

Cette exception est encore assez mal cernée tant elle est rédigée de manière floue.

Par référence à l'article 6 §1 e) qui prévoit que le traitement n'est licite que s'il est "nécessaire à l'exécution d'une mission d'intérêt public", on peut facilement imaginer que sont concernés les acteurs publics (administrations, organismes chargés d'une mission de service public) dans le cadre de leurs missions.

Cependant, on imagine plus difficilement le contour de la notion d'intérêt public "important" permettant alors aux institutions publiques de traiter des données personnelles sensibles.

En pratique, cette exception suppose un texte : l'article 9.2 g) exige que le traitement repose sur le droit de l'Union ou d'un État membre, qu'il soit proportionné à l'objectif poursuivi et qu'il prévoie des mesures appropriées pour protéger les droits des personnes.

h) La médecine préventive, la médecine du travail et la prise en charge sanitaire ou sociale

Cette exception englobe toute la sphère de la médecine : de la médecine préventive jusqu'à la médecine du travail.

L'article 9.3 en fixe la condition : les données doivent être traitées par un professionnel soumis au secret professionnel, ou sous sa responsabilité.

i) L'intérêt public dans le domaine de la santé publique

Elle vise la protection contre les menaces transfrontalières graves pesant sur la santé, ou la garantie de normes élevées de qualité et de sécurité des soins, des médicaments et des dispositifs médicaux, sur la base du droit de l'Union ou d'un État membre.

j) Les archives, la recherche scientifique ou historique et les statistiques

Cette exception permet de faire obstacle à l'interdiction de traitement des données sensibles lorsqu'elles sont nécessaires à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, dans les conditions de l'article 89.1 du RGPD.

La donnée sensible : vos obligations vis-à-vis du RGPD

En principe, le traitement des données sensibles est interdit. Nous avons néanmoins vu que certaines exceptions vous permettent d'utiliser ces données dans des cas précis. Pour être sûr de pouvoir utiliser ces données, vérifier les éléments suivants :

1. Vous vous trouvez bien dans l'un des dix cas d'exception de l'article 9.2 ;
2. Vous respectez les autres obligations du RGPD : finalité, base légale (article 6), minimisation et sécurité des données ;
3. Vous documentez l'exception retenue dans votre registre des traitements (article 30), pour pouvoir la justifier lors d'un contrôle.

Prenons un exemple : vous désirez lancer une nouvelle application mobile. Voici les questions que vous devez vous poser avant de démarrer votre projet :

• Quelles données collectées sont pertinentes par rapport à mon service ?
• Quels types de données allez-vous recueillir ?
• Votre traitement respecte-t-il le principe de la minimisation des données ?
• Avez-vous informé, en toute transparence et explicitement, les personnes concernées (par exemple avec une politique de confidentialité sur votre site Internet) ?
• La durée de conservation est-elle justifiée ?
• Vos actions sont-elles documentées (avec un registre de données) ?
• Les mesures de sécurisation sont-elles suffisantes ? Avez-vous développé une procédure en cas de fuite ?
• Pouvez-vous répondre, dans les délais, aux demandes des clients souhaitant exercer leurs droits (accès, rectification…) ?

Gestion des données sensibles : les bonnes pratiques

Deux obligations se déclenchent lorsque les données sensibles sont traitées à grande échelle :

• La désignation d'un délégué à la protection des données (DPO) est obligatoire lorsque les activités de base du responsable de traitement ou du sous-traitant consistent en un traitement à grande échelle de données sensibles ou de données d'infraction (article 37.1 c du RGPD).
• L'analyse d'impact (AIPD, ou PIA) est obligatoire pour un traitement à grande échelle de ces mêmes données (article 35.3 b). Hors grande échelle, les lignes directrices du G29 sur l'AIPD (WP248 rév. 01) comptent les données sensibles ou hautement personnelles parmi neuf critères, et deux critères réunis rendent en général l'AIPD nécessaire. La CNIL publie la liste des traitements pour lesquels elle est requise (délibération n° 2018-327 du 11 octobre 2018). Pour la méthode pas à pas : notre livre blanc sur l'AIPD.

Pour bien gérer les données sensibles, vous devez d'abord être en capacité de distinguer les données sensibles des données à caractère personnel dont le traitement est autorisé par le RGPD. Ensuite, vérifiez que vous êtes bien autorisés à les utiliser (cas d'exceptions de traitement, respect des obligations du RGPD). Ensuite, pour un maximum de sécurité, l'idéal est de leur appliquer un traitement spécifique et sécurisé :

• Pseudonymisation : cette technique consiste à remplacer des informations d'identification par des identifiants artificiels pour empêcher l'identification d'une personne en particulier.
• Chiffrement : les données sont illisibles sans la clé, dont l'accès est réservé à un nombre restreint de personnes.

Ces deux mesures figurent parmi celles que cite l'article 32 du RGPD, et la CNIL les recommande pour assurer la confidentialité des données sensibles. Elle les contrôle aussi : le 26 mai 2026, elle a sanctionné IQVIA Operations France de 5 millions d'euros pour la gestion de deux entrepôts de données de santé, avec parmi les manquements relevés l'absence d'authentification multifacteur et des journaux de connexion jamais analysés (notre analyse de la décision).

Une sensibilisation et une formation du personnel sont indispensables.

Données d'infraction et condamnations pénales : le régime de l'article 10

Les données relatives aux condamnations pénales, aux infractions et aux mesures de sûreté connexes ne figurent pas dans la liste de l'article 9. Elles relèvent de l'article 10 du RGPD, dont la logique est différente : il ne liste pas d'exceptions, il désigne qui peut les traiter. Le traitement n'est possible que sous le contrôle de l'autorité publique, ou s'il est autorisé par le droit de l'Union ou d'un État membre prévoyant des garanties appropriées. Un registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l'autorité publique.

En France, l'article 46 de la loi n° 78-17 du 6 janvier 1978 (loi Informatique et Libertés) réserve ces traitements à quelques catégories d'acteurs, parmi lesquelles :

• les juridictions, les autorités publiques et les personnes morales gérant un service public, dans le cadre de leurs attributions légales ;
• les auxiliaires de justice, pour les stricts besoins de leurs missions ;
• les personnes physiques ou morales, pour préparer, exercer et suivre une action en justice en tant que victime ou mise en cause, et faire exécuter la décision rendue.

Deux conséquences pour le DPO d'une entreprise :

• Le consentement ne lève pas l'interdiction. Contrairement à l'article 9.2 a), l'article 10 ne prévoit aucune exception fondée sur l'accord de la personne.
• Le casier judiciaire se vérifie, il ne s'archive pas. Lorsqu'un texte permet de contrôler l'absence de condamnation pour un poste, le principe de minimisation (article 5) conduit à consulter le bulletin n° 3 présenté par le candidat plutôt qu'à en conserver une copie.

Les dispositifs d'alerte professionnelle et les enquêtes internes sont les traitements où ces données apparaissent le plus souvent sans avoir été recherchées : ils doivent être identifiés comme tels dans le registre.

RGPD et données sensibles : un maître-mot, la PRÉCAUTION.

Vous en savez désormais un peu plus sur les données sensibles. Votre leitmotiv en cas de traitement : la PRÉCAUTION.

Un traitement et une protection spécifiques sont nécessaires.

• En cas de manquement à la protection de ces données sensibles, vous vous exposez à une amende pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83.5 du RGPD) ;
• Perte de confiance des clients ;
• Déficit d'image.

🔎 Rappelez-vous que :

1. En principe, le traitement des données sensibles est interdit,
2. Les dix exceptions de l'article 9.2 vous autorisent toutefois à traiter les données sensibles,
3. Si vous vous trouvez dans un cas d'autorisation de traitement, vérifiez également que vous respectez bien les autres obligations du RGPD (finalité du traitement etc),
4. Pour être sûr de respecter le RGPD en matière de données sensibles : il est recommandé de mettre en place des mesures de confidentialité supplémentaires (pseudonymisation, chiffrement).

Des interrogations subsistent sur votre conformité RGPD ? Le logiciel RGPD Leto vous accompagne à chaque étape. Réserver une démo avec nos experts.

Questions fréquemment posées

Qu'est-ce qu'une donnée sensible au sens du RGPD ?

Les données sensibles sont des catégories particulières de données personnelles listées à l'article 9 du RGPD : origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques, données biométriques, données de santé, vie sexuelle ou orientation sexuelle. Leur traitement est par principe interdit sauf exceptions.

Quelles sont les exceptions permettant de traiter des données sensibles ?

L'article 9.2 du RGPD prévoit 10 exceptions : le consentement explicite, les obligations en droit du travail, la sauvegarde des intérêts vitaux, les activités d'un organisme à but non lucratif, les données manifestement publiques, les actions en justice, l'intérêt public important, la médecine préventive, la santé publique et les fins archivistiques ou de recherche.

Faut-il réaliser une AIPD pour traiter des données sensibles ?

Oui, la réalisation d'une Analyse d'Impact sur la Protection des Données (AIPD) est obligatoire pour tout traitement de données sensibles à grande échelle. La CNIL impose cette analyse pour évaluer les risques et définir les mesures de protection appropriées avant le démarrage du traitement.

Quelle différence entre donnée sensible et donnée personnelle ?

Toute donnée sensible est une donnée personnelle, mais l'inverse n'est pas vrai. Une donnée personnelle (nom, email, adresse) identifie une personne. Une donnée sensible appartient aux catégories spécifiques de l'article 9 du RGPD (santé, opinions, biométrie) et bénéficie d'une protection renforcée avec un principe d'interdiction de traitement.

Quelles mesures de sécurité mettre en place pour les données sensibles ?

Les données sensibles exigent des mesures renforcées : chiffrement des données au repos et en transit, contrôle d'accès strict basé sur les rôles, pseudonymisation ou anonymisation quand possible, journalisation des accès, sauvegardes sécurisées et plan de réponse aux incidents.

Les données de santé sont-elles toujours considérées comme sensibles ?

Oui, les données de santé sont toujours des données sensibles au sens du RGPD, qu'il s'agisse de données médicales, de numéros de sécurité sociale, d'informations sur des handicaps ou de données de mutuelle. Leur hébergement en France doit respecter la certification HDS (Hébergeur de Données de Santé) pour les prestataires techniques.