⏱ L’essentiel en 30 secondes
- L’article 9 du RGPD pose une interdiction de principe : traiter des « catégories particulières de données » (dites données sensibles) est interdit, sauf exception.
- Huit catégories sont visées, dont les données de santé, la biométrie et l’appartenance syndicale — des données que beaucoup de PME traitent sans le savoir (arrêts maladie, mutuelle, badgeuse).
- Dix exceptions (article 9 § 2, a à j) permettent de lever l’interdiction, mais il faut en plus une base légale au titre de l’article 6.
- En cas de violation : palier haut des amendes RGPD, jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial (article 83 § 5).
Fiches RH avec arrêts maladie, affiliation à la mutuelle, badgeuse à empreinte digitale, fichier patients : une PME manipule bien plus souvent des données sensibles qu’elle ne le croit. Ce guide détaille ce que dit exactement l’article 9 du règlement (UE) 2016/679, les dix exceptions qui permettent de traiter ces données, et les obligations concrètes qui en découlent — un pan souvent négligé de la conformité RGPD d’une entreprise. Il s’agit d’une présentation informative du cadre légal, pas d’un conseil juridique adapté à votre situation.
L’article 9 du RGPD : une interdiction de principe
La logique de l’article 9 est inversée par rapport au reste du RGPD. Pour une donnée personnelle « ordinaire » (nom, e-mail, adresse), le traitement est autorisé à condition d’avoir une base légale. Pour une donnée sensible, le traitement est interdit par défaut : l’article 9 § 1 dispose que le traitement des catégories particulières de données « est interdit », point. Ce n’est qu’ensuite que le § 2 ouvre dix exceptions limitativement énumérées.
Pourquoi ce régime renforcé ? Parce que ces données touchent à l’intimité et exposent les personnes à des risques majeurs en cas d’abus ou de fuite : discrimination à l’embauche, refus d’assurance, chantage, atteinte à la réputation. Le RGPD, applicable depuis le 25 mai 2018 (retrouvez les dates clés du RGPD), leur réserve donc son niveau de protection le plus élevé.
À retenir : le terme officiel du RGPD est « catégories particulières de données à caractère personnel ». « Données sensibles » est l’appellation courante, utilisée notamment par la CNIL. Les deux désignent la même liste.
La liste exacte des huit catégories de données sensibles (article 9 § 1)
La liste est exhaustive : une donnée est sensible au sens du RGPD si — et seulement si — elle entre dans l’une de ces huit catégories.
| Catégorie (texte de l’article 9 § 1) | Exemples concrets en entreprise |
|---|---|
| Origine raciale ou ethnique | Toute mention d’origine dans un fichier RH ou client. La collecte de statistiques « ethniques » est par ailleurs prohibée en France. |
| Opinions politiques | Engagement politique d’un salarié noté dans un dossier, fichier de sympathisants. |
| Convictions religieuses ou philosophiques | Demandes d’absence pour fêtes religieuses consignées avec leur motif, menus confessionnels. |
| Appartenance syndicale | Liste des élus et adhérents, suivi des heures de délégation, retenues de cotisations syndicales. |
| Données génétiques | Résultats de tests ADN (rarissime en PME hors laboratoires et recherche). |
| Données biométriques aux fins d’identifier une personne de manière unique | Empreinte digitale d’une badgeuse, reconnaissance faciale, empreinte vocale. |
| Données de santé | Motif médical d’un arrêt, inaptitude, invalidité, dossier patient, allergie, taille de vêtement médical. |
| Vie sexuelle ou orientation sexuelle | Toute mention dans un fichier, y compris déduite indirectement. |
Attention aux données « révélatrices » : l’article 9 vise aussi les données qui révèlent une catégorie sensible. Un régime alimentaire peut révéler une religion ou un état de santé ; une commande de matériel médical révèle un problème de santé. La Cour de justice de l’UE retient une interprétation large de cette notion.
« Sensible » au sens juridique ou au sens courant : ne confondez pas
Dans le langage courant, un RIB, un salaire ou un numéro de carte bancaire sont des informations « sensibles ». Au sens de l’article 9, elles ne le sont pas : elles n’entrent dans aucune des huit catégories. Elles restent des données personnelles à protéger sérieusement (article 32 du RGPD), mais elles n’obéissent pas au régime d’interdiction de principe.
✅ Sensibles (article 9)
Santé, biométrie d’identification, appartenance syndicale, religion, opinions politiques, origine ethnique, génétique, vie sexuelle.
❌ Non sensibles au sens juridique
RIB et coordonnées bancaires, salaire, adresse, e-mail, historique d’achats, plaque d’immatriculation.
⚠️ Cas particuliers
Le NIR (numéro de sécurité sociale) et les données d’infractions (article 10 RGPD) ne relèvent pas de l’article 9 mais bénéficient d’un encadrement spécifique renforcé en France.
Les 10 exceptions de l’article 9 § 2, vulgarisées
L’interdiction tombe si le traitement entre dans l’un des dix cas prévus par l’article 9 § 2, désignés par les lettres a à j. Voici chaque exception traduite en langage clair, avec un exemple parlant pour une PME.
| § 2 | Exception | En pratique pour une PME |
|---|---|---|
| a | Consentement explicite de la personne, pour une ou plusieurs finalités précises | Un client autorise expressément un coach sportif à enregistrer ses données de santé. Attention : en contexte salarié, le consentement est rarement considéré comme libre. |
| b | Droit du travail, sécurité sociale et protection sociale : obligations et droits de l’employeur ou du salarié | Gestion des arrêts de travail, déclarations sociales, affiliation à la mutuelle obligatoire, suivi des visites de médecine du travail. |
| c | Intérêts vitaux, quand la personne est hors d’état de consentir | Transmettre l’allergie connue d’un salarié inconscient aux secours. |
| d | Organismes à but non lucratif à finalité politique, philosophique, religieuse ou syndicale, pour leurs membres et contacts réguliers | Une association cultuelle ou un syndicat gère son fichier d’adhérents — sans le communiquer à des tiers sans consentement. |
| e | Données manifestement rendues publiques par la personne elle-même | Un engagement syndical revendiqué publiquement par un porte-parole. Interprétation stricte : un profil sur un réseau social ne suffit pas toujours. |
| f | Constatation, exercice ou défense d’un droit en justice | Produire un dossier comportant des données de santé dans un contentieux prud’homal. |
| g | Intérêt public important, sur la base du droit de l’UE ou national | Traitements prévus par une loi (lutte contre la fraude, par exemple). Rarement mobilisable par une PME de sa propre initiative. |
| h | Médecine et prise en charge sanitaire ou sociale : médecine préventive ou du travail, diagnostic, soins, gestion des services de santé | Un cabinet médical, un kinésithérapeute ou un infirmier libéral gère ses dossiers patients, sous la responsabilité d’un professionnel soumis au secret. |
| i | Santé publique : menaces sanitaires, qualité et sécurité des soins et des médicaments | Pharmacovigilance, dispositifs prévus lors d’une crise sanitaire. |
| j | Archives d’intérêt public, recherche scientifique ou historique, statistiques (conditions de l’article 89) | Participation encadrée à une étude de recherche en santé. |
Deux précisions utiles. D’abord, l’exception h est assortie d’une garantie (article 9 § 3) : les données doivent être traitées par un professionnel soumis au secret ou sous sa responsabilité. Ensuite, l’article 9 § 4 autorise les États membres à ajouter des conditions pour les données génétiques, biométriques et de santé — la France l’a fait dans la loi Informatique et Libertés, ce qui explique l’encadrement particulièrement strict de la CNIL sur ces sujets.
Article 6 + article 9 : deux verrous à lever, pas un seul
C’est le point le plus mal compris. Trouver une exception à l’article 9 ne dispense jamais de justifier d’une base légale au titre de l’article 6 du RGPD. Les deux conditions sont cumulatives : c’est la lecture constante de la CNIL et du Comité européen de la protection des données (CEPD).
Concrètement, pour chaque traitement de données sensibles, votre documentation doit citer deux fondements : une base légale de l’article 6 (obligation légale, contrat, intérêt légitime, consentement…) et une exception de l’article 9 § 2. Exemple : la gestion des arrêts de travail repose sur l’obligation légale de l’employeur (article 6-1-c) et sur l’exception « droit du travail et protection sociale » (article 9-2-b).
Données de santé, RH, biométrie : votre protection est-elle au niveau de l’article 9 ?
Faites le point en 30 min avec un spécialiste — offert.
Ce que l’article 9 change pour une PME : 5 situations courantes
1. La fiche RH avec arrêts maladie
Le motif médical d’un arrêt de travail est une donnée de santé. L’employeur peut traiter les dates et la durée de l’arrêt pour gérer la paie et les déclarations (exception 9-2-b), mais il n’a pas à connaître ni à conserver le motif médical : celui-ci relève du médecin et de l’Assurance maladie. Un commentaire libre « dépression », « cancer » ou « burn-out » dans un fichier RH est exactement le type de mention à proscrire.
2. Le badge ou la pointeuse biométrique
L’empreinte digitale ou le visage utilisés pour identifier une personne sont des données biométriques au sens de l’article 9. La CNIL encadre leur usage au travail par un règlement type (2019) : le contrôle d’accès biométrique doit être spécifiquement justifié (locaux ou postes réellement critiques), et l’usage de la biométrie pour un simple suivi des horaires est considéré comme disproportionné. Une badgeuse à empreinte « par confort » expose donc l’entreprise à un risque de non-conformité.
3. La mutuelle et la prévoyance d’entreprise
L’affiliation obligatoire s’appuie sur l’exception 9-2-b, mais la règle de minimisation s’applique : l’employeur transmet les informations d’affiliation, tandis que les données médicales (questionnaires de santé, justificatifs de dispense pour raison médicale) doivent rester entre la personne et l’organisme assureur.
4. Le cabinet médical ou paramédical
Médecins, kinésithérapeutes, infirmiers, ostéopathes : le dossier patient repose sur l’exception 9-2-h, sous couvert du secret professionnel. La CNIL publie des référentiels dédiés aux cabinets ; la sécurisation (chiffrement, sauvegardes, messagerie de santé sécurisée) y est une exigence centrale, pas une option.
5. L’association cultuelle ou le syndicat
Le simple fichier d’adhérents révèle une conviction religieuse ou une appartenance syndicale. L’exception 9-2-d l’autorise pour la gestion interne des membres et contacts réguliers, avec une limite ferme : aucune communication à des tiers sans le consentement des personnes. Ces structures doivent aussi savoir répondre aux demandes d’accès ou d’effacement — des modèles de courriers RGPD aident à formaliser ces réponses.
Vos obligations si vous traitez des données sensibles
Identifier la bonne exception ne suffit pas. Le traitement de données sensibles déclenche des obligations renforcées :
- Registre des traitements (article 30) : les traitements de données sensibles doivent y figurer, y compris dans les entreprises de moins de 250 salariés — la dérogation ne s’applique pas aux catégories particulières traitées de manière non occasionnelle.
- Analyse d’impact (AIPD) (article 35) : elle est obligatoire en cas de traitement à grande échelle de données sensibles, et la liste CNIL des traitements soumis à AIPD inclut plusieurs cas fréquents (données de santé par les établissements de soins, profilage RH…). Dans le doute, documentez votre analyse.
- Sécurité renforcée (articles 32 et 9) : le RGPD exige des mesures « appropriées » au risque. Pour des données de santé ou RH, cela signifie en pratique chiffrement, habilitations restreintes (qui accède à quoi), journalisation des accès, sauvegardes testées et sensibilisation des équipes.
- Notification des violations (articles 33 et 34) : une fuite de données sensibles présente presque toujours un risque pour les personnes — notification à la CNIL sous 72 h, et information des personnes si le risque est élevé.
Un audit RGPD permet de vérifier point par point que ces obligations sont couvertes, en commençant par la cartographie des données sensibles réellement présentes dans vos fichiers.
L’angle sécurité change tout : une fuite de données de santé ou RH coûte bien plus cher qu’une fuite ordinaire — notification, gestion de crise, perte de confiance, contentieux. Selon l’étude IBM Cost of a Data Breach 2024, le secteur de la santé reste le plus coûteux en cas de violation, avec un coût moyen d’environ 9,8 M$ par incident, le plus élevé tous secteurs confondus depuis plus de dix ans.
Sanctions : l’article 9 relève du palier haut du RGPD
Le RGPD prévoit deux paliers d’amendes administratives. Les violations des « principes de base » du traitement, dont l’article 9, relèvent du palier haut défini à l’article 83 § 5 : jusqu’à 20 millions d’euros ou, pour une entreprise, 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
En France, la CNIL contrôle, met en demeure et sanctionne — y compris des TPE-PME via sa procédure simplifiée. Selon son bilan 2024, elle a prononcé 87 sanctions pour un total de plus de 55 millions d’euros, et reçu 5 629 notifications de violations de données, en hausse d’environ 20 % sur un an. L’amende n’est d’ailleurs pas le seul risque : rappel à l’ordre, injonction sous astreinte, limitation ou interdiction du traitement, et publicité de la décision peuvent frapper durement une petite structure. Notre analyse des sanctions CNIL visant les PME détaille les profils d’entreprises réellement sanctionnées.
5 réflexes si vous traitez des données sensibles
- Cartographiez vos données sensiblesPassez en revue RH, clients, prestataires : où se trouvent santé, biométrie, appartenance syndicale, convictions ? Inscrivez chaque traitement identifié dans votre registre (article 30).
- Documentez le double fondementPour chaque traitement : une exception de l’article 9 § 2 et une base légale de l’article 6. Si vous ne trouvez ni l’une ni l’autre, le traitement doit cesser.
- Minimisez sans pitiéSupprimez ce qui ne vous regarde pas : motifs médicaux dans les dossiers RH, commentaires libres, copies de justificatifs médicaux. Moins de données sensibles = moins de risque.
- Renforcez la sécuritéChiffrement, droits d’accès restreints au strict nécessaire, journalisation, sauvegardes testées : l’article 9 exige des garanties « appropriées », et c’est ce que la CNIL vérifie en premier lors d’un contrôle après une fuite.
- Évaluez et faites-vous accompagnerMenez l’AIPD si elle est requise et faites valider votre approche : un consultant RGPD sécurise les arbitrages juridiques, un diagnostic technique vérifie que la protection réelle suit.
Données de santé, RH, biométrie : votre protection est-elle au niveau de l’article 9 ?
L’article 9 exige des mesures de sécurité « appropriées ». Chiffrement, accès, sauvegardes, messagerie : un spécialiste fait le point avec vous en 30 minutes. Offert, sans engagement.
Demander mon diagnostic offert
TPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance
FAQ — Article 9 du RGPD et données sensibles
Quelles sont les données sensibles du RGPD ?
Le NIR (numéro de sécurité sociale) est-il une donnée sensible ?
Peut-on traiter des données de santé avec le consentement ?
Quelle sanction en cas de violation de l’article 9 ?
Une photo de salarié est-elle une donnée biométrique ?
Pour aller plus loin : le guide RGPD pour votre entreprise, l’article 6 et les bases légales, ou votre diagnostic cybersécurité offert pour vérifier que vos données sensibles sont réellement protégées.
Laisser un commentaire