Lexique · Gouvernance & conformité
Données sensibles
Au sens du RGPD, catégories particulières de données personnelles (article 9) : origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques, biométriques, de santé, de vie sexuelle ou d'orientation sexuelle. Leur traitement est interdit par principe, sauf exception.
Ce que ça change pour une organisation
Les données sensibles désignent, dans le RGPD, les « catégories particulières de données à caractère personnel » de l’article 9 : celles qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que les données génétiques, les données biométriques servant à identifier une personne de manière unique, les données de santé et celles relatives à la vie sexuelle ou à l’orientation sexuelle.
Leur traitement est interdit par principe, sauf si l’une des exceptions du paragraphe 2 s’applique, par exemple le consentement explicite de la personne, la médecine du travail, la prise en charge sanitaire ou un motif d’intérêt public important fixé par le droit. Il faut donc réunir deux fondements : une base légale de l’article 6 et une exception de l’article 9.
Leur traitement à grande échelle impose une analyse d’impact (article 35), et les décisions entièrement automatisées ne peuvent en principe pas s’appuyer sur elles (article 22). En France, les traitements de santé exigent de plus une autorisation de la CNIL ou la conformité à un référentiel (article 66 de la loi Informatique et Libertés).
Exemple
Le 26 mai 2026, la CNIL a sanctionné la société IQVIA OPERATIONS FRANCE d’une amende de 5 millions d’euros pour des manquements dans la gestion de deux entrepôts de données de santé. Pour fixer le montant, la formation restreinte a retenu notamment la gravité des manquements, qui concernaient des données de santé, donc des données sensibles, et le nombre très élevé de personnes concernées (plusieurs dizaines de millions).
À ne pas confondre avec
- Les données sensibles au sens courant de la sécurité, c’est-à-dire les informations confidentielles d’une organisation (secrets d’affaires, données financières, identifiants) : elles méritent une protection forte, mais seules les catégories de l’article 9 relèvent du régime d’interdiction du RGPD.
- Les données bancaires, très exposées à la fraude mais absentes des catégories particulières.
- Les données personnelles en général : les données sensibles en sont une sous-catégorie soumise à des conditions supplémentaires.
