Le RGPD distingue deux niveaux de protection des données personnelles. Les données ordinaires (nom, adresse, numéro de téléphone) peuvent être traitées dès qu’une base légale existe. Les catégories particulières de données, elles, sont interdites de traitement par défaut. Comprendre cette ligne de partage est le point de départ pour toute entreprise qui collecte des informations sur des personnes physiques.
Données sensibles et données pénales : deux régimes distincts dans le RGPD
La plupart des pages qui traitent ce sujet fusionnent toutes les interdictions sous l’étiquette « données sensibles ». Le règlement européen sépare pourtant deux mécanismes juridiques différents, chacun avec ses propres exceptions.
A découvrir également : Quelles sont les conséquences de l'abus du pouvoir ?
| Catégorie | Base juridique | Principe | Exceptions principales |
|---|---|---|---|
| Données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques, données biométriques d’identification, données de santé, vie sexuelle ou orientation sexuelle) | Article 9 du RGPD | Interdiction de traitement par défaut | Consentement explicite, obligation en droit du travail ou sécurité sociale, intérêt vital, intérêt public, recherche scientifique |
| Données relatives aux infractions et condamnations pénales | Article 10 du RGPD | Traitement réservé à l’autorité publique (ou sous son contrôle) | Registre complet des condamnations tenu uniquement sous contrôle de l’autorité publique |
L’article 10 est régulièrement oublié. Une entreprise qui constituerait un fichier d’antécédents judiciaires de ses candidats à l’embauche, par exemple, tomberait sous ce régime spécifique, et non sous celui de l’article 9. Les données pénales obéissent à un régime séparé des données sensibles.
A voir aussi : Quelles sont les normes fondamentales ?
Données biométriques : l’interdiction ne vise qu’un usage précis
Les données biométriques figurent dans la liste de l’article 9, mais avec une nuance que beaucoup de guides omettent. Seul le traitement aux fins d’identification unique d’une personne est interdit par défaut. Une photographie stockée dans un dossier RH n’est pas, en soi, une donnée biométrique au sens du RGPD. Elle le devient si un algorithme l’utilise pour reconnaître automatiquement le visage du salarié.
Cette distinction a des conséquences pratiques directes. Un dispositif de contrôle d’accès par empreinte digitale dans une entreprise relève de l’article 9 et nécessite une exception valide, généralement le consentement explicite ou une obligation légale. En revanche, un capteur qui mesure la température corporelle sans identifier la personne ne tombe pas sous la même interdiction.
Cas concret en recrutement
La CNIL rappelle que les employeurs de TPE et PME doivent se poser la question de la proportionnalité avant toute collecte. Exiger une reconnaissance faciale pour pointer reviendrait à traiter une donnée biométrique d’identification, donc interdite sauf exception. Un simple badge suffit dans la grande majorité des cas.
Exceptions à l’interdiction de traitement des données sensibles
L’article 9, paragraphe 2, du RGPD liste les situations dans lesquelles le traitement de données sensibles devient licite. Toutes ne se valent pas en pratique.
- Le consentement explicite de la personne concernée reste l’exception la plus courante, mais il doit être libre, spécifique et éclairé. Un consentement noyé dans des conditions générales ne remplit pas ce critère.
- Les obligations en matière de droit du travail et de protection sociale permettent le traitement de certaines données de santé (arrêts maladie, reconnaissance de handicap) sans consentement, à condition qu’un texte législatif ou réglementaire le prévoie.
- La sauvegarde des intérêts vitaux autorise le traitement lorsque la personne est physiquement ou juridiquement incapable de donner son consentement, par exemple en situation d’urgence médicale.
- L’intérêt public dans le domaine de la santé publique (lutte contre les menaces sanitaires transfrontalières) constitue une base légale distincte, mobilisée notamment lors de crises épidémiques.
- La recherche scientifique, historique ou statistique, sous réserve de garanties appropriées et du respect du principe de minimisation des données.
En revanche, l’intérêt légitime du responsable de traitement ne figure pas parmi les exceptions de l’article 9. Une entreprise ne peut pas invoquer son intérêt commercial pour collecter des données de santé ou des opinions politiques.
Sanctions CNIL et traitement illicite de données interdites
La CNIL dispose du pouvoir de sanctionner tout responsable de traitement qui collecte des données sensibles sans base légale valide. Le RGPD prévoit des amendes pouvant atteindre le plafond le plus élevé prévu par le règlement pour ce type de manquement.
Profilage et décision automatisée
L’Autorité de protection des données (belge) et la CNIL soulignent un point supplémentaire : la prise de décision individuelle automatisée ne peut pas se fonder sur des données de l’article 9. Un algorithme de scoring qui utiliserait l’origine ethnique ou l’état de santé pour filtrer des candidatures serait doublement illicite, à la fois au titre de l’article 9 et au titre des règles sur le profilage.
Cette interdiction concerne aussi les systèmes d’intelligence artificielle entraînés sur des jeux de données contenant des catégories sensibles. L’European Data Protection Board a récemment précisé les obligations relatives à l’anonymisation et au web scraping dans le contexte de l’IA générative.
Données personnelles ordinaires : licites mais encadrées
Il serait inexact de conclure que seules les données sensibles posent problème. Le traitement de données personnelles ordinaires (adresse, numéro de client, historique de navigation) reste soumis aux six bases légales de l’article 6 du RGPD. Sans l’une d’elles, la collecte est illicite.
La différence tient au niveau de protection. Pour les données ordinaires, le consentement n’a pas besoin d’être « explicite » : un consentement non ambigu suffit. L’intérêt légitime du responsable de traitement peut être invoqué, ce qui n’est pas le cas pour les données sensibles.
Toute donnée personnelle nécessite une base légale, mais les données de l’article 9 et de l’article 10 ajoutent une couche d’interdiction par défaut. C’est cette superposition de régimes qui rend le cadre du RGPD plus strict qu’un simple système d’autorisation. La conformité passe par l’identification précise de la catégorie de chaque donnée collectée, avant même de chercher la base légale applicable.
