Toutes les données personnelles ne se valent pas. Certaines révèlent ce qu’une personne a de plus intime — sa santé, ses convictions, sa vie sexuelle — et leur traitement non autorisé peut causer des dommages réels : discrimination à l’embauche, exclusion sociale, chantage. Le droit européen l’a compris bien avant que la plupart des entreprises ne s’en préoccupent.
Le RGPD (Règlement Général sur la Protection des Données) consacre une catégorie à part pour ces informations : les données sensibles. Comprendre ce que recouvre ce terme, à quoi il sert dans la pratique et comment le contexte juridique s’est durci depuis décembre 2018 — c’est le point de départ indispensable pour toute organisation qui collecte des données, qu’elle soit startup, PME ou grand groupe.
Qu’appelle-t-on exactement données sensibles ?
La liste officielle selon le RGPD
L’article 9 du RGPD dresse une liste précise. Ces données sont sensibles parce qu’elles touchent à des aspects de la personnalité qui, mal exploités, servent à discriminer ou à cibler des individus vulnérables. Voici les catégories reconnues :
- Origine raciale ou ethnique
- Opinions politiques
- Convictions religieuses ou philosophiques
- Appartenance syndicale
- Données génétiques
- Données biométriques (empreintes digitales, reconnaissance faciale)
- Données relatives à la santé
- Vie sexuelle ou orientation sexuelle
- Données relatives aux infractions et condamnations pénales
Cette liste est limitative. Une donnée fiscale — comme une valeur foncière — peut être sensible dans le langage courant, mais elle ne relève pas de l’article 9. La distinction est importante : régime juridique différent, sanctions différentes.
💡 Notre conseil
En cas de doute sur la nature d’une donnée, appliquez le principe de précaution : traitez-la comme sensible le temps de consulter votre DPO ou un juriste spécialisé. Mieux vaut une précaution inutile qu’une amende CNIL.
La forme que peut prendre une donnée sensible
Une donnée sensible peut exister sous forme électronique — dans une base SQL, un fichier RH, une application mobile — ou sur papier. Le support importe peu en droit. Ce qui compte, c’est la nature de l’information et le traitement qui en est fait.
Un simple formulaire papier demandant l’appartenance syndicale d’un salarié entre déjà dans le champ du RGPD. L’analyse d’une image biométrique pour ouvrir une porte, aussi. Le pluriel de ces situations montre que chaque organisation, quelle que soit sa taille, est potentiellement concernée.
⚠️ Cadre légal : interdiction de principe, exceptions encadrées
Le principe : traitement interdit par défaut
Le RGPD pose une règle claire : le traitement des données sensibles est interdit par défaut. C’est l’inverse du régime applicable aux données classiques, pour lesquelles il suffit d’une base légale valide. Ici, il faut d’abord lever l’interdiction.
⚠️ À garder en tête
Une entreprise qui collecte des données de santé sans base légale explicite risque jusqu’à 4 % de son chiffre d’affaires mondial annuel, ou 20 millions d’euros — le montant le plus élevé étant retenu. La CNIL a infligé 101 millions d’euros d’amendes en France en 2023 : ce n’est plus théorique.
Les exceptions qui permettent le traitement
Le règlement liste dix exceptions. Les plus utilisées en pratique par les entreprises :
- Le consentement explicite de la personne concernée — attention, il doit être libre, éclairé, spécifique et révocable à tout moment.
- L’exécution des obligations légales relatives au droit du travail (gestion des arrêts maladie par exemple).
- La sauvegarde des intérêts vitaux de la personne quand elle est hors d’état de consentir.
- Les activités des fondations ou associations à caractère politique, philosophique, religieux ou syndical, pour leurs membres.
- La recherche médicale ou scientifique, sous réserve de garanties appropriées.
Ces exceptions ne dispensent pas du reste du RGPD : minimisation des données, durées de conservation, droits des personnes. Elles ouvrent simplement la porte — elles ne la déverrouillent pas entièrement.
🎯 Comment les entreprises doivent protéger ces données
Mesures techniques minimales
Le niveau de protection doit être proportionnel au risque. Pour les données sensibles, les recommandations de la CNIL fixent un plancher concret. Plusieurs mesures s’imposent en pratique :
Les données doivent être chiffrées au repos et en transit. AES-256 est le standard pour les fichiers stockés ; TLS 1.3 pour les échanges réseau.
Principe du moindre privilège : seuls les collaborateurs qui ont besoin de ces données pour leur mission y accèdent. Les logs d’accès doivent être conservés et auditables.
Séparer les identifiants directs des données sensibles via une clé de correspondance stockée séparément réduit drastiquement le risque en cas de fuite.
Une sauvegarde chiffrée, isolée du réseau principal, protège contre les ransomwares. Pour les données mobiles, consulter des ressources comme Sauvegarder les données Samsung : méthodes fiables donne une idée des bonnes pratiques applicables côté utilisateur final.
Mesures organisationnelles
La technique ne suffit pas. L’analyse de risques (ou AIPD — Analyse d’Impact relative à la Protection des Données) est obligatoire pour tout traitement de données sensibles à grande échelle. Cette analyse sert à identifier les menaces avant qu’elles ne se concrétisent.
Les entreprises doivent aussi former leurs équipes. 80 % des violations de données résultent d’une erreur humaine selon les rapports annuels de la CNIL. Un collaborateur qui envoie par erreur un tableau RH contenant des données de santé à la mauvaise adresse mail déclenche une obligation de notification — et potentiellement une amende.
✅ À retenir
Toute violation affectant des données sensibles doit être notifiée à la CNIL dans les 72 heures. Si le risque pour les personnes est élevé, celles-ci doivent également être informées directement. Ce délai court dès que vous avez connaissance de l’incident.
Données publiques et données sensibles : ne pas confondre
Ce que les données publiques ne sont pas
Les données publiques — celles que l’on trouve sur des plateformes comme data.gouv.fr — sont accessibles à tous et ne relèvent pas du secret. Statistiques économiques, valeurs foncières publiées par l’administration, résultats électoraux agrégés : ces informations circulent librement parce qu’elles ne permettent pas, en principe, d’identifier un individu ou de lui nuire.
Mais « public » ne signifie pas « non sensible » automatiquement. Croiser des données publiques avec d’autres sources peut révéler des informations sensibles relatives à une personne. C’est ce qu’on appelle la réidentification — et le RGPD s’y applique pleinement dès lors que le résultat de l’analyse porte sur un individu identifiable.
Le domaine de la Technologie offre des exemples frappants : un chercheur du MIT a démontré en 2013 que quatre points de localisation suffisent à identifier de manière unique 95 % des individus dans une base de données anonymisée de téléphonie mobile. L’anonymisation parfaite est un mythe — ce qui justifie que les données sensibles restent sous haute surveillance, même sous forme agrégée.
Pourquoi la distinction compte dans la pratique
| 📂 Données classiques | 🔒 Données sensibles (art. 9) |
|---|---|
| Traitement autorisé avec une base légale ordinaire (contrat, intérêt légitime, consentement…) | Interdit par défaut — levée d’interdiction requise + base légale ordinaire |
| AIPD recommandée selon les cas | AIPD obligatoire à grande échelle |
| Sanctions : jusqu’à 10 M€ ou 2 % CA mondial | Sanctions : jusqu’à 20 M€ ou 4 % CA mondial |
Cette distinction structure toute la conformité RGPD d’une organisation. Les demandes d’audit des assureurs cyber portent désormais systématiquement sur ce point : traitez-vous des données sensibles ? Avec quelle base légale ? Sous quelle protection technique ? Les réponses influencent directement les primes — et parfois la couverture accordée.
Questions fréquentes
Quelle est la différence entre donnée personnelle et donnée sensible ?
Une donnée personnelle est toute information qui permet d’identifier directement ou indirectement une personne (nom, email, adresse IP). Une donnée sensible est un sous-ensemble particulier : elle appartient à l’une des neuf catégories listées par l’article 9 du RGPD (santé, biométrie, origine ethnique, etc.) et obéit à un régime juridique plus strict, avec interdiction de traitement par défaut.
Une photo peut-elle être considérée comme une donnée sensible ?
Oui, si elle est traitée via une technique de reconnaissance faciale ou biométrique pour identifier une personne de manière unique. Une simple photo de profil ne relève pas de l’article 9 ; en revanche, le gabarit biométrique extrait de cette photo pour contrôler un accès physique constitue bien une donnée sensible au sens du RGPD.
Est-ce qu’une TPE ou une association est concernée par les règles sur les données sensibles ?
Oui. Le RGPD s’applique à toute structure qui traite des données personnelles, quelle que soit sa taille. Une petite association gérant des dossiers médicaux de bénévoles ou collectant l’appartenance syndicale de ses membres est pleinement soumise à l’article 9 — y compris aux obligations d’AIPD et de notification en cas de violation.
Combien de temps peut-on conserver des données sensibles ?
La durée de conservation dépend de la finalité du traitement et des obligations légales sectorielles. Les données de santé liées à un contrat de travail se conservent généralement 5 ans après la fin du contrat. Les données biométriques d’accès doivent être supprimées dès que l’accès n’est plus nécessaire. Il n’existe pas de durée universelle : chaque traitement doit fixer sa propre durée, documentée dans le registre des traitements.
Que risque une entreprise en cas de violation de données sensibles ?
Une entreprise qui ne notifie pas la CNIL dans les 72 heures suivant une violation, ou dont le traitement de données sensibles est dépourvu de base légale valide, s’expose à une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel. Des sanctions complémentaires (injonction de cesser le traitement, publicité de la sanction) peuvent s’y ajouter.