Catégories particulières de données : traiter les informations personnelles sensibles

Points clés

Point	Résumé
Interdiction générale	Le traitement des données de catégories particulières est interdit par défaut
Exceptions spécifiques	Traitement autorisé uniquement sous conditions explicites (Article 9(2))
Standards plus élevés	Exigences de sécurité, documentation et responsabilité plus strictes
AIPD souvent requise	Le traitement à grande échelle de catégories particulières nécessite typiquement une AIPD
Exemples courants	Données de santé, biométrie, origine raciale/ethnique, croyances religieuses

Réponse rapide : Les données de catégories particulières (santé, biométrie, origine raciale, religion, etc.) nécessitent un consentement explicite ou une autre condition légale spécifique, plus des mesures de sécurité renforcées. La plupart des organisations ne peuvent traiter ces données qu'avec un consentement explicite ou quand c'est nécessaire pour les obligations du droit du travail.

Qu'est-ce qu'une donnée de catégorie particulière ?

L'article 9 du RGPD identifie ces catégories comme nécessitant une protection renforcée :

Catégorie	Exemples
Origine raciale ou ethnique	Ethnicité, nationalité, couleur de peau
Opinions politiques	Affiliation à un parti politique, préférences de vote
Croyances religieuses ou philosophiques	Religion, athéisme, croyances éthiques
Appartenance syndicale	Statut d'affiliation syndicale
Données génétiques	ADN, informations héréditaires
Données biométriques	Empreintes digitales, reconnaissance faciale, scans d'iris (quand utilisés pour identifier)
Données de santé	Dossiers médicaux, handicaps, santé mentale, données de mode de vie affectant la santé
Vie sexuelle ou orientation sexuelle	Préférences sexuelles, historique sexuel

Lié : Données relatives aux condamnations pénales

Bien que n'étant pas techniquement des données de "catégorie particulière", les données personnelles relatives aux condamnations pénales et aux infractions reçoivent une protection similaire sous l'Article 10. Ces données ne peuvent être traitées que :

• Sous le contrôle de l'autorité publique, ou
• Quand c'est autorisé par le droit de l'UE ou des États membres

Quand peut-on traiter des données de catégories particulières ?

La règle générale

L'Article 9(1) interdit le traitement des données de catégories particulières sauf si l'une des conditions spécifiques de l'Article 9(2) s'applique.

Conditions de l'Article 9(2)

Condition	Quand elle s'applique
(a) Consentement explicite	L'individu donne un consentement explicite pour des finalités spécifiques
(b) Emploi et protection sociale	Traitement nécessaire pour les obligations du droit du travail
(c) Intérêts vitaux	Protection de la vie quand le consentement ne peut être obtenu
(d) Activités légitimes	Par des organismes à but non lucratif avec des garanties appropriées (membres/contacts)
(e) Données rendues publiques	Données manifestement rendues publiques par l'individu
(f) Réclamations juridiques	Nécessaire pour des réclamations juridiques ou des procédures judiciaires
(g) Intérêt public substantiel	Basé sur la loi, proportionné, avec des garanties
(h) Soins de santé	Diagnostic médical, traitement, gestion du système de santé
(i) Santé publique	Finalités de santé publique (épidémies, qualité/sécurité)
(j) Recherche/statistiques	Archivage, recherche, statistiques avec des garanties appropriées

Bases les plus courantes pour les organisations

Consentement explicite (a) :
Le plus courant pour les organisations commerciales. Exige :

• Déclaration de consentement claire et spécifique
• Opt-in actif (pas de cases pré-cochées)
• Séparé des autres consentements
• Mécanisme de retrait facile
• Enregistrement documenté du consentement

Obligations liées à l'emploi (b) :
Pertinent pour le traitement des données des employés :

• Aménagements pour handicap
• Exigences de santé et sécurité
• Monitoring d'égalité des chances
• Administration des indemnités journalières

Finalités de soins de santé (h) :
Pour les organisations du secteur de la santé :

• Professionnels de santé liés par la confidentialité
• Fourniture de services de santé
• Gestion des systèmes de santé

Exigences pratiques

Mesures de sécurité renforcées

Les données de catégories particulières nécessitent une sécurité particulièrement robuste :

Mesure	Mise en œuvre
Chiffrement	Chiffrement fort au repos et en transit
Contrôles d'accès	Accès strict basé sur le besoin d'en connaître, permissions basées sur les rôles
Journalisation d'audit	Journalisation complète des accès et modifications
Sécurité physique	Contrôles physiques appropriés pour les systèmes et le stockage
Vérification du personnel	Vérifications d'antécédents appropriées pour le personnel ayant accès
Formation	Formation renforcée sur la manipulation des données sensibles

Exigences d'AIPD

Le traitement de données de catégories particulières à grande échelle nécessite typiquement une Analyse d'impact sur la protection des données :

Scénario	AIPD requise ?
Traitement de données de santé à grande échelle	Oui
Système de contrôle d'accès biométrique	Probablement
Monitoring de diversité (anonymisé/agrégé)	Généralement non
Traitement d'assurance santé individuelle	Dépend de l'échelle
Aménagements de handicap pour employés	Généralement non (petite échelle)

Exigences de documentation

Documentation renforcée pour le traitement de catégories particulières :

Document	Contenu
Entrée ROPA	Documentation spécifique des activités de traitement
Enregistrement de la base légale	Justification documentée sous l'Article 9(2)
Registres de consentement	Quand le consentement explicite est la base
Mesures de sécurité	Documentation de la sécurité renforcée
AIPD	Quand requise

Scénarios courants

Scénario 1 : Monitoring de diversité et inclusion

De nombreuses organisations collectent des données de diversité pour le monitoring et l'amélioration.

Considérations :

• Nécessite généralement un consentement explicite
• Considérer l'anonymisation/agrégation pour éviter l'identification individuelle
• Explication claire de la finalité et de l'utilisation
• Séparé des décisions d'emploi
• Participation volontaire

Approche :

• Rendre la participation clairement optionnelle
• Expliquer comment les données seront utilisées (statistiques agrégées)
• Considérer si les données au niveau individuel sont nécessaires
• Implémenter des contrôles d'accès forts

Scénario 2 : Programmes de santé et bien-être

Les programmes de bien-être des employés impliquent souvent des données de santé.

Considérations :

• Consentement explicite typiquement requis
• Doit être véritablement volontaire
• Ne peut pas désavantager les non-participants
• Le fournisseur tiers doit avoir un DPA approprié

Approche :

• S'assurer que la nature volontaire est réelle (pas de pression)
• Obtenir un consentement explicite avec une explication claire
• Séparer des dossiers d'emploi
• Limiter l'accès au personnel nécessaire

Scénario 3 : Authentification biométrique

Empreintes digitales ou reconnaissance faciale pour le contrôle d'accès.

Considérations :

• Les données biométriques utilisées pour l'identification sont de catégorie particulière
• AIPD généralement requise
• Considérer si la biométrie est vraiment nécessaire
• Des options d'authentification alternatives devraient être disponibles

Approche :

• Mener une AIPD avant l'implémentation
• Fournir des alternatives quand possible (carte, code PIN)
• Sécurité forte pour les templates biométriques
• Information privacy claire pour les utilisateurs

Scénario 4 : Vérification des antécédents

Vérifications pré-emploi qui peuvent révéler des informations sensibles.

Considérations :

• Peut révéler des conditions de santé, historique pénal
• Doit avoir une base légale appropriée
• Proportionné au poste
• Le candidat doit être informé

Approche :

• Vérifier uniquement ce qui est nécessaire et proportionné
• Obtenir le consentement quand requis
• Utiliser des fournisseurs de vérification accrédités
• Conservation et suppression appropriées

Scénario 5 : Applications et services liés à la santé

Applications qui collectent des données de santé ou de fitness.

Considérations :

• Données de santé définies largement (incluent les données de fitness affectant la santé)
• Consentement explicite requis
• Mesures de sécurité renforcées
• Peut avoir des réglementations supplémentaires sur les données de santé

Approche :

• Consentement clair et spécifique pour les données de santé
• Mesures de sécurité robustes
• Approche privacy-by-design
• Considérer une AIPD pour les nouvelles fonctionnalités

Données de santé : considérations particulières

Les données de santé sont l'une des catégories particulières les plus couramment traitées et méritent une attention particulière.

Qu'est-ce qui compte comme donnée de santé ?

Le RGPD définit les données de santé de manière large :

Inclus	Exemples
Dossiers médicaux	Diagnostics, traitements, prescriptions
Santé physique	Handicaps, blessures, conditions
Santé mentale	Conditions psychologiques, dossiers de thérapie
Services de santé	Rendez-vous, visites hospitalières
Lié à la santé	Données de mode de vie relatives à la santé, trackers de fitness
Tests génétiques	Résultats révélant des prédispositions de santé

Variations nationales

De nombreux États membres de l'UE ont des lois supplémentaires pour les données de santé :

• Exigences de confidentialité spécifiques
• Obligations de secret professionnel
• Conditions supplémentaires de traitement
• Exigences de localisation des données

Les organisations devraient vérifier les exigences dans les pays où elles opèrent.

Données biométriques : considérations particulières

Les données biométriques sont de catégorie particulière uniquement quand elles sont traitées pour identifier de manière unique un individu.

Quand la biométrie est de catégorie particulière

Scénario	Catégorie particulière ?
Empreinte digitale pour déverrouiller l'appareil	Oui (identification)
Contrôle d'accès par reconnaissance faciale	Oui (identification)
Photo pour badge d'identification	Non (pas d'identification biométrique)
Enregistrement vocal pour service client	Généralement non (sauf si utilisé pour l'identification)

Exigences de sécurité biométrique

Exigence	Mise en œuvre
Stockage des templates	Stocker des templates plutôt que des données biométriques brutes
Chiffrement	Chiffrement fort pour les templates biométriques
Révocation	Capacité de révoquer/remplacer la biométrie compromise
Stockage local	Considérer le stockage local sur l'appareil vs base de données centrale

Transferts internationaux

Les transferts de données de catégories particulières hors de l'EEE nécessitent :

• Toutes les exigences standard de mécanisme de transfert (CCT, adéquation, etc.)
• Attention renforcée dans les Évaluations d'impact du transfert
• Considération de si le pays destinataire fournit une protection adéquate pour les données sensibles
• Des mesures supplémentaires plus fortes peuvent être appropriées

Comment Bastion peut vous aider

Le traitement de données de catégories particulières implique de naviguer dans des exigences complexes et d'implémenter des contrôles renforcés. Travailler avec des partenaires expérimentés aide à s'assurer que votre approche est à la fois conforme et pratique.

Défi	Comment nous aidons
Évaluation de la base légale	Conseils sur les conditions appropriées de l'Article 9(2) pour votre traitement
Support AIPD	Mener des AIPD pour les activités de traitement de catégories particulières
Mise en œuvre de la sécurité	Recommandations pour les mesures de sécurité renforcées
Mécanismes de consentement	Conception et mise en œuvre de processus de consentement explicite
Évaluation fournisseurs	Évaluation des sous-traitants gérant des données de catégories particulières
Documentation	Templates et support pour les exigences de documentation renforcées

Les données de catégories particulières sont un domaine où bien faire les choses compte significativement, à la fois en raison du risque réglementaire accru et parce que ces données concernent des aspects de la vie des individus qui méritent un respect particulier.

---

Des questions sur la gestion des données de catégories particulières ? Parlons-en →

---

Sources

• Article 9 du RGPD (EUR-Lex) - Texte officiel sur les catégories particulières de données
• Article 10 du RGPD (EUR-Lex) - Traitement des données relatives aux condamnations pénales
• Lignes directrices CEPD sur le consentement - Guidance incluant le consentement explicite