Données sensibles RGPD : la liste et les règles pour un logiciel métier

Un éditeur de logiciel métier découvre rarement qu'il traite des données sensibles en lisant le RGPD. Il le découvre quand un client hospitalier lui envoie un questionnaire de sécurité, quand un salarié conteste un commentaire laissé dans son dossier RH, ou quand un fichier fuit et que la CNIL y trouve des pathologies saisies en commentaires libres : 1,5 million d'euros d'amende pour un éditeur de logiciels de laboratoire en 2022. Une donnée sensible fait passer le traitement d'un régime d'autorisation à un régime d'interdiction de principe. Voici la liste, le piège de la déduction, les exceptions qu'un éditeur peut réellement mobiliser et la conception produit qui en découle.

Pourquoi la qualification de donnée sensible change tout

Un traitement ordinaire est licite dès qu'il repose sur l'une des six bases légales de l'article 6 du RGPD. Pour les données sensibles, cela ne suffit plus. L'article 9.1 pose une interdiction, et seule l'une des dix exceptions de l'article 9.2 la lève. Les deux étages se cumulent : il faut une base légale, comme le rappelle notre article sur le choix de la base légale de l'article 6 du RGPD, et une exception de l'article 9.

La qualification déclenche ensuite une cascade d'obligations :

• AIPD : un traitement à grande échelle de données sensibles ou de données d'infraction impose une analyse d'impact (article 35.3 b).
• DPO : sa désignation devient obligatoire quand les activités de base du responsable de traitement ou du sous-traitant consistent en un tel traitement à grande échelle (article 37.1 c). Un éditeur de dossier patient y est exposé, même en tant que sous-traitant.
• Plafond d'amende : la violation de l'article 9 relève du plafond haut, 20 millions d'euros ou 4 % du chiffre d'affaires mondial (article 83.5 a).
• Risque pénal : l'article 226-19 du Code pénal punit de cinq ans d'emprisonnement et de 300 000 euros d'amende la conservation de ces données hors des cas prévus par la loi.
• Hébergement : des données de santé recueillies lors d'activités de soins et hébergées pour le compte d'un professionnel imposent un hébergeur certifié (article L. 1111-8 du Code de la santé publique).

Qui porte le risque ? Le client, responsable de traitement, choisit l'exception. Mais l'éditeur ne s'abrite pas derrière lui. Sous-traitant, il répond directement de la sécurité et du respect des instructions : c'est sur ce fondement que la CNIL a sanctionné l'éditeur de laboratoires de 2022. Et dès qu'il réutilise les données pour son propre compte, par exemple pour constituer un entrepôt statistique, il devient responsable de traitement à part entière.

La liste de l'article 9 : les catégories particulières de données

L'article 9.1 vise huit catégories. La liste est fermée, mais chaque terme s'interprète largement.

• Origine raciale ou ethnique. La nationalité n'en fait pas partie en soi. Un champ « pays de naissance » croisé avec une photo ou un nom peut en revanche y conduire.
• Opinions politiques. Un mandat électif local, une adhésion à un parti saisie dans un CRM associatif.
• Convictions religieuses ou philosophiques. Un régime alimentaire confessionnel, un congé demandé pour une fête religieuse.
• Appartenance syndicale. Le mandat et le syndicat d'un délégué, que le référentiel CNIL de gestion du personnel mentionne expressément.
• Données génétiques (article 4.13) : caractéristiques héréditaires ou acquises, issues notamment de l'analyse d'un échantillon biologique.
• Données biométriques aux fins d'identifier une personne de manière unique (article 4.14). Une photo de profil n'en est pas une : selon le considérant 51, elle ne le devient que si elle passe par un traitement technique spécifique, comme la reconnaissance faciale.
• Données concernant la santé (article 4.15) : santé physique ou mentale, y compris la prestation de soins, dès qu'elles révèlent une information sur l'état de santé.
• Vie sexuelle ou orientation sexuelle.

Le droit français ajoute deux couches. L'article 6 de la loi Informatique et Libertés reprend l'interdiction, et son article 44 ajoute des exceptions propres : soins assurés par un professionnel soumis au secret, biométrie au travail conforme à un règlement type de la CNIL, traitements de santé d'intérêt public. L'article 226-19 du Code pénal va plus loin que le RGPD : il vise aussi l'identité de genre.

Ce qui n'est pas dans la liste n'est pas libre pour autant. Le numéro de sécurité sociale relève d'un régime propre (article 30 de la loi Informatique et Libertés et décret n° 2019-341 du 19 avril 2019, dit décret cadre NIR). La géolocalisation, les données bancaires ou les données de mineurs pèsent dans l'analyse de risque et peuvent conduire à une AIPD, sans déclencher l'interdiction de l'article 9.

Données sensibles par déduction : ce que la CJUE a jugé

C'est le point que la plupart des éditeurs ratent. Une donnée banale devient sensible si elle permet de déduire une catégorie de l'article 9.

Trois arrêts qui fixent la règle

CJUE, grande chambre, 1er août 2022, OT, C-184/20. La Lituanie publiait en ligne les déclarations d'intérêts de dirigeants, avec le nom de leur conjoint ou partenaire. La Cour juge que des données qui révèlent l'orientation sexuelle « au terme d'une opération intellectuelle de déduction ou de recoupement » relèvent de l'article 9. Les soustraire au régime renforcé, dit-elle, priverait ce régime de son effet utile.

CJUE, grande chambre, 4 juillet 2023, Meta Platforms, C-252/21. Collecter la navigation d'un utilisateur sur des sites ou applications liés à une catégorie sensible, puis la rattacher à son compte, est un traitement de données sensibles, que l'information concerne l'utilisateur ou un tiers. Et l'utilisateur ne rend pas ses données « manifestement publiques » en naviguant : il faut un choix explicite et éclairé de les rendre accessibles à un nombre illimité de personnes.

CJUE, grande chambre, 4 octobre 2024, Lindenapotheke, C-21/23. Le nom, l'adresse de livraison et les éléments d'individualisation saisis lors d'une commande en ligne de médicaments réservés aux pharmacies sont des données de santé, même sans ordonnance.

La CNIL applique déjà ce raisonnement. Dans sa délibération SAN-2024-015 du 26 septembre 2024, elle retient qu'un formulaire collectant le sexe d'une personne et celui de son partenaire, pour un test de compatibilité amoureuse, traite l'orientation sexuelle. Elle vise expressément l'arrêt OT.

Ce que cela donne dans un logiciel métier

• SIRH : un motif d'absence « maladie », « enfant malade » ou « temps partiel thérapeutique », un aménagement de poste, une reconnaissance de travailleur handicapé. La jurisprudence tend à considérer que le simple fait d'être absent pour maladie révèle une information sur l'état de santé.
• Paie et temps : le compteur d'heures de délégation d'un délégué syndical révèle son appartenance syndicale. En France, la paie ne trahit pas l'adhésion par une retenue de cotisation, puisque l'article L. 2141-6 du Code du travail interdit à l'employeur de prélever les cotisations syndicales sur les salaires. Le signal vient des mandats, pas du bulletin.
• Restauration collective, badges : un choix de menu confessionnel, répété, peut signaler une conviction religieuse.
• Commerce en ligne : l'historique d'achats d'une parapharmacie, d'un site de compléments alimentaires ou d'un sex-shop.
• Télématique : des arrêts récurrents devant un centre de dialyse, un lieu de culte ou un local syndical.

Le test pratique : la donnée, seule ou croisée avec ce que le logiciel ou le client détient déjà, permet-elle raisonnablement de déduire une catégorie sensible ? Si oui, elle se traite comme telle, ou se transforme pour ne plus le permettre.

Données d'infraction : l'article 10, un régime à part

Les données relatives aux condamnations pénales, aux infractions et aux mesures de sûreté ne sont pas des données de l'article 9. Elles relèvent de l'article 10, plus strict encore : le consentement ne lève rien. Le traitement n'est possible que sous le contrôle de l'autorité publique ou s'il est autorisé par un texte prévoyant des garanties.

En France, l'article 46 de la loi Informatique et Libertés dresse la liste fermée de ceux qui peuvent traiter ces données : juridictions et autorités publiques, auxiliaires de justice, personnes qui préparent ou suivent une action en justice comme victime ou mis en cause, sociétés de gestion collective de droits d'auteur, réutilisateurs de décisions de justice sans réidentification. Un employeur n'y figure pas en tant que tel.

La conséquence produit est directe. Le guide recrutement de la CNIL de janvier 2023 admet, quand le poste le justifie, la consultation visuelle du bulletin n° 3 du casier judiciaire, sans copie ni conservation. Seule la mention que la vérification a été faite peut être notée, sous la forme « oui/non ». Un ATS qui propose un emplacement « extrait de casier » en pièce jointe fabrique donc une infraction pour son client. Le bon design est une case booléenne.

Même vigilance sur les champs libres : une sanction disciplinaire n'est pas une infraction pénale, mais la mention « plainte déposée pour vol » dans un dossier salarié en est une. L'article 226-19 du Code pénal punit sa conservation hors des cas légaux des mêmes peines que pour les données sensibles.

Les exceptions de l'article 9.2 mobilisables par un éditeur

Sur les dix exceptions, cinq ou six seulement servent en pratique à un logiciel métier. Le client les choisit, mais le produit doit permettre d'en respecter les conditions.

Le consentement explicite, plus étroit qu'il n'y paraît

Le consentement de l'article 9.2 a suppose une action positive propre aux données sensibles, précédée d'une information sur leur caractère particulier. La CNIL l'a rappelé dans la délibération SAN-2024-015 : livrer spontanément une information sensible ne vaut pas consentement. Dans une relation de travail, le consentement fonctionne mal : le considérant 43 l'écarte quand il existe un déséquilibre manifeste entre les parties. Un SIRH ne se construit donc pas sur des cases à cocher.

Le droit du travail et de la protection sociale

L'article 9.2 b couvre ce que le droit du travail et de la sécurité sociale impose : déclaration d'accident du travail, gestion des arrêts, organisation des visites médicales. Le référentiel CNIL de gestion du personnel prend l'exemple de la déclaration d'accident, qui mentionne la nature et le siège des lésions. L'exception couvre ce que la loi exige, pas davantage : l'arrêt, pas le diagnostic.

Les soins et les services de santé

L'article 9.2 h couvre la prise en charge sanitaire et la gestion des services de santé, à condition que les données soient traitées par un professionnel de santé soumis au secret, ou sous sa responsabilité (article 9.3). C'est l'exception du logiciel de cabinet, du dossier patient informatisé, de la téléconsultation. L'article 44, 1°, de la loi Informatique et Libertés la décline en droit français.

L'intérêt public en santé, les entrepôts et les études

Dès que l'éditeur ou son client réutilise des données de santé pour des études, des statistiques ou un entrepôt, on entre dans la section santé de la loi Informatique et Libertés. Dans sa rédaction en vigueur depuis le 28 mai 2026, l'article 66 impose la conformité à un référentiel de la CNIL, avec une déclaration préalable, ou à défaut une autorisation. C'est précisément ce qui a manqué dans les deux dossiers sanctionnés détaillés plus bas.

Les exceptions résiduelles

Les données « manifestement rendues publiques » (9.2 e) supposent, depuis l'arrêt Meta, un choix explicite de la personne : un éditeur ne peut presque jamais s'en prévaloir. La défense d'un droit en justice (9.2 f) sert les outils de gestion de contentieux. L'exception des organismes à but non lucratif (9.2 d) sert les logiciels de gestion d'adhérents de syndicats, partis ou associations cultuelles, à condition de ne rien communiquer hors de l'organisme sans consentement.

Une proposition de règlement de la Commission, dite omnibus numérique (COM(2025) 837 du 19 novembre 2025), ajouterait deux exceptions : le traitement résiduel de données sensibles dans le développement d'un système d'IA, et la vérification biométrique quand les données restent sous le seul contrôle de la personne. À la date de rédaction, ce texte est encore en discussion au Conseil et n'est pas adopté. Rien ne se construit dessus aujourd'hui.

Champs libres et pièces jointes : le risque caché

Un éditeur peut avoir parfaitement modélisé ses champs structurés et traiter malgré lui des données sensibles à grande échelle. Elles arrivent par les zones de texte.

La délibération SAN-2022-009 du 15 avril 2022 en est l'illustration la plus coûteuse. Un fichier de 491 840 patients, extrait des logiciels d'un éditeur de solutions pour laboratoires de biologie médicale, circulait en ligne. Il contenait deux colonnes de commentaires libres où figuraient des pathologies (VIH, cancers, maladies génétiques), des grossesses, des traitements et des données génétiques. Amende : 1,5 million d'euros, prononcée contre l'éditeur lui-même au titre de ses obligations de sous-traitant et de sécurité.

La délibération SAN-2024-015 ajoute un enseignement : des données sensibles confiées spontanément dans un chat ou par SMS sont traitées dès lors qu'elles sont enregistrées et conservées, même si l'entreprise affirme ne pas s'en servir. 100 000 euros au titre des articles 5.1 e (durée de conservation) et 9.

Les pièces jointes posent le même problème en pire, car elles échappent à toute structure : certificat médical, ordonnance, justificatif de reconnaissance de handicap, CV avec photo et mention religieuse. Le référentiel CNIL de gestion du personnel le dit en une ligne : « encadrer de manière stricte les zones de commentaires libres ».

Point de vigilance. Une zone de commentaire sans limite, sans avertissement et sans contrôle, multipliée par des milliers d'utilisateurs clients, fait de votre base un traitement de données sensibles à grande échelle. Votre DPA, votre registre et votre AIPD doivent en tenir compte, que vous l'ayez voulu ou non.

Les parades sont connues : supprimer les champs libres qui ne servent à rien, limiter la longueur des autres, afficher un avertissement au moment de la saisie, détecter les termes à risque par dictionnaire (pathologies, religions, syndicats), imposer une typologie aux pièces jointes et purger ce qui ne correspond pas à la typologie.

La conception qui en découle

Le RGPD ne demande pas de renoncer aux données sensibles. Il demande de pouvoir montrer que chacune a une raison d'être et un périmètre. Pour un éditeur, la méthode tient en sept étapes, à intégrer dans la démarche de privacy by design au cycle de développement.

1. Cartographier les champs en trois colonnes : sensibles par nature, sensibles par déduction, libres.
2. Minimiser : une case « vérification faite » plutôt qu'un document, une absence « autorisée » visible du manager et un motif visible des seules RH.
3. Isoler les données sensibles dans des tables ou un schéma distincts, chiffrés au niveau du champ avec une clé dédiée.
4. Restreindre les accès par rôle et journaliser chaque consultation.
5. Purger automatiquement à l'échéance de conservation, y compris dans les sauvegardes et les environnements de test.
6. Filtrer les sorties : exports, API, connecteurs d'analyse et jeux d'entraînement d'IA ne doivent pas embarquer les champs sensibles par défaut.
7. Documenter : catégories listées dans l'annexe du DPA, exception identifiée par traitement, AIPD dès que le seuil de l'article 35 est atteint. Notre article sur l'AIPD pour un éditeur de logiciel détaille ce seuil.

Pseudonymiser ne suffit pas

Le considérant 26 est clair : des données pseudonymisées restent des données personnelles. La CNIL l'a appliqué le 5 septembre 2024 (SAN-2024-013) à un éditeur de logiciels pour médecins de ville. Il extrayait des dossiers patients de ses clients, contre une remise sur licence, pour alimenter un entrepôt destiné à des études. Il les estimait anonymes. La CNIL a jugé que le suivi des patients dans la durée par un identifiant unique les laissait pseudonymes, donc soumises au régime de la santé sans référentiel ni autorisation. Amende : 800 000 euros.

Sanctions : ce que coûte une donnée sensible mal traitée

Les montants récents donnent l'ordre de grandeur :

• 5 millions d'euros pour IQVIA Operations France (SAN-2026-008 du 26 mai 2026) : entrepôts de données de santé alimentés par des officines et des médecins, études menées hors autorisation, information et droit d'opposition défaillants.
• 1,5 million d'euros pour l'éditeur de logiciels de laboratoire (SAN-2022-009).
• 800 000 euros pour l'éditeur de logiciels médicaux (SAN-2024-013).
• 150 000 euros pour le service de voyance en ligne (SAN-2024-015), dont 100 000 euros au titre de l'article 9.

Le risque ne vient pas seulement de la CNIL. L'arrêt Lindenapotheke admet qu'un droit national ouvre aux concurrents une action en concurrence déloyale fondée sur une violation du RGPD. Et un client grand compte qui découvre des données sensibles non déclarées dans votre produit dispose d'un motif de résiliation tout trouvé. Pour situer votre propre exposition, le calculateur de risque RGPD donne une première estimation.

Par où commencer

Quand j'audite un logiciel métier, je ne commence pas par la politique de confidentialité. Je demande le schéma de base de données, la liste des champs libres et la typologie des pièces jointes. Dès cette première lecture, on sait en général si le produit traite des données sensibles sans le savoir, et lesquelles. La suite se déroule selon la méthode décrite dans notre article sur l'audit RGPD et l'évaluation du niveau de conformité : qualification, exception, conception, documentation.

Avocat et développeur, je lis le code autant que les contrats : c'est ce double regard qui permet de corriger le produit, pas seulement la documentation. Pour en savoir plus, voyez mon offre d'audit RGPD pour éditeurs de logiciels, ou échangeons sur les données sensibles de votre produit.