Les données personnelles sensibles : une qualification extensive
Les données personnelles sensibles représentent une catégorie particulière d’informations, car elles révèlent des aspects intimes de la vie privée des personnes concernées. La gestion et la qualification de ces données nécessitent un cadre juridique strict, ainsi qu’une vigilance particulière pour les responsables de traitement. Cet article fait le point sur la définition et l’extension de la notion de données sensibles.
Les données personnelles sensibles
Les données dites « sensibles » sont une catégorie particulière de données personnelles car elles révèlent des informations particulièrement intrusives sur la vie privée des personnes concernées.
Ce sont 1 :
- Les données concernant l’origine raciale ou ethnique
- Les opinions politiques
- Les convictions religieuses ou philosophiques ou l’appartenance syndicale
- Les données génétiques ou biométriques afin d’identifier une personne physique de manière unique
- Les données concernant la santé
- Les données concernant la vie sexuelle ou l’orientation sexuelle
Étant donné leur sensibilité, leur usage est par principe interdit. Leur traitement pourra néanmoins être autorisé selon un encadrement strict 2 (sauvegarde des intérêts vitaux d’une personne, obligation légale, consentement des personnes concernées, etc.). Au-delà de leur encadrement juridique, la difficulté réside dans leur qualification.
Quand fait-on face à une donnée sensible ?
Les données sensibles sont facilement identifiables lorsqu’elles le sont par « nature ». Par exemple, un diagnostic médical, des résultats d’examens médicaux ou encore un handicap sont des données de santé.
Mais une donnée peut également être qualifiée de santé en raison de sa destination ou d’un croisement avec d’autres données. C’est le cas, par exemple, des données concernant l’aménagement spécifique d’un poste de travail pour un employé en situation de handicap : l’information selon laquelle l’employé X dispose d’un clavier en braille constitue une donnée de santé, car elle permet de déduire que ledit employé souffre d’un handicap visuel.
La qualification de données de santé est par conséquent considérée comme extensive.
Cette extension de la qualification est-elle applicable à toutes les données sensibles ?
C’est la question à laquelle la Cour de Justice de l’Union Européenne (CJUE) a répondu dans un arrêt d’août 2022 3.
La question de la qualification de données sensibles s’est posée lors de l’absence de déclaration d’intérêts privés aux autorités administratives lituaniennes par un dirigeant, à des fins d’identification de potentiels conflits d’intérêts (obligation légale liée à la lutte contre la corruption).
Pour justifier l’absence de déclaration, le dirigeant a argué que la déclaration de données telles que le nom de son conjoint constituerait un traitement de données sensibles, car cela pourrait fournir des informations sur son orientation sexuelle, autrement dit, des données sensibles.
Ces données n’étant pas sensibles par nature, peuvent-elles dès lors être considérées indirectement comme sensibles ?
Oui, « un traitement portant non seulement sur des données intrinsèquement sensibles, mais également sur des données dévoilant indirectement, au terme d’une opération intellectuelle de déduction ou de recoupement, des informations de cette nature ».
L’impact de cette décision est significatif pour les responsables de traitement, qui doivent vérifier, pour tout traitement de données personnelles, si certaines données pourraient être considérées comme sensibles par déduction ou recoupement, tout comme c’est déjà le cas pour les données de santé.
Conclusion
La notion de données personnelles sensibles ne se limite pas aux informations explicitement sensibles. Les responsables de traitement doivent adopter une approche proactive et étendue, prenant en compte les risques liés à la déduction ou au recoupement des informations. Cette vigilance est indispensable pour garantir la conformité au RGPD et la protection effective des personnes concernées.
Sources
1 A noter que d’autres données peuvent être considérées par le droit local d’un Etat comme étant sensible. Par exemple, en France, le numéro de sécurité sociale.
2 Article 9 du RGPD.
3 Arrêt de la Cour de Justice de l’Union Européenne, août 2022.
