Données sensibles et RGPD : des règles renforcées

Une startup de la healthtech prépare une levée de fonds. Son application collecte des données de santé pour ajuster des recommandations personnalisées. Lors de la due diligence, l'investisseur exige la preuve d'une base légale solide et d'une analyse d'impact. La fondatrice découvre alors que ces données relèvent d'un régime juridique particulier, bien plus exigeant que celui des données ordinaires. Cette catégorie porte un nom précis dans le RGPD.

L'essentiel en 30 secondes. Les données sensibles de l'article 9 du RGPD obéissent à un principe d'interdiction de traitement, levé uniquement par des exceptions limitées. Leur usage déclenche des obligations renforcées : base légale spécifique, analyse d'impact souvent obligatoire et mesures de sécurité accrues.

Ce que recouvre la notion de données sensibles

L'article 9 du RGPD énumère limitativement les catégories particulières de données. Cette liste comprend les données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques et l'appartenance syndicale. Elle inclut aussi les données génétiques, les données biométriques traitées aux fins d'identifier une personne de façon unique, ainsi que les données concernant la santé, la vie sexuelle ou l'orientation sexuelle.

Ces informations touchent à l'intimité des personnes et peuvent fonder des discriminations. Le législateur européen leur réserve donc une protection spécifique. Une distinction mérite attention : les données relatives aux condamnations pénales relèvent de l'article 10, soumis à son propre régime, et non de l'article 9.

Cette qualification ne dépend pas de l'intention de l'entreprise. Une donnée devient sensible par sa nature, même collectée incidemment. Une photographie qui révèle l'origine ethnique d'une personne, ou un champ de commentaire qui mentionne une pathologie, font entrer le traitement dans le régime de l'article 9. Les fondateurs sous-estiment souvent cette portée, qui dépasse les seuls fichiers explicitement médicaux ou confessionnels.

Un principe d'interdiction assorti d'exceptions

Le traitement des données sensibles est en principe interdit. Cette interdiction constitue la règle, et tout traitement doit s'appuyer sur l'une des exceptions énumérées au paragraphe 2 de l'article 9. La logique s'inverse par rapport aux données ordinaires, dont le traitement reste possible dès lors qu'une base légale le justifie.

Parmi les exceptions figurent le consentement explicite de la personne, les obligations découlant du droit du travail et de la protection sociale, la sauvegarde des intérêts vitaux, ou encore les données manifestement rendues publiques par la personne elle-même. D'autres exceptions visent la médecine préventive, la recherche ou l'intérêt public en matière de santé. Une startup ne peut donc traiter ces données qu'après avoir identifié l'exception applicable et l'avoir documentée.

Le consentement explicite mérite une vigilance particulière. Il se distingue du consentement ordinaire par son formalisme renforcé. La personne doit manifester un accord clair, spécifique à ces données sensibles, par une déclaration ou un acte positif sans ambiguïté. Une case précochée ou un consentement noyé dans des conditions générales ne suffit pas. La preuve de ce consentement vous incombe, ce qui suppose une traçabilité fiable du recueil.

Des obligations pratiques renforcées

Traiter des données sensibles ne se résume pas à trouver une exception. Trois conséquences pratiques structurent la conformité de votre projet.

La base légale se double d'une exigence propre à l'article 9. Vous devez articuler une base de l'article 6, par exemple le consentement ou l'exécution d'un contrat, avec une exception de l'article 9. Cette double justification doit apparaître clairement dans votre documentation interne.

La minimisation prend ici une importance accrue. Avant de collecter une donnée sensible, demandez-vous si votre finalité l'exige réellement. Bien souvent, une donnée ordinaire suffit à atteindre le même objectif, sans déclencher le régime contraignant de l'article 9. Renoncer à une collecte superflue allège vos obligations et réduit votre surface de risque. Cette discipline de conception, parfois appelée protection des données dès la conception, séduit autant les autorités que les acheteurs attentifs à la sobriété de vos traitements.

L'analyse d'impact relative à la protection des données devient fréquemment obligatoire. L'article 35 l'impose lorsqu'un traitement est susceptible d'engendrer un risque élevé, ce que le traitement à grande échelle de données sensibles déclenche régulièrement. Cette analyse anticipe les risques pour les personnes et formalise les mesures de réduction. C