Données sensibles nLPD : la liste et où elles se cachent
· Mis à jour le
Joaquín Trapero in Spécialiste de l'intelligence artificielle et de la protection des données, fondateur de Nonimo.
Une garantie de loyer signée par le service social, un bordereau d’impôt genevois, une fiche de salaire avec la cotisation syndicale : aucun de ces papiers ne porte la mention « confidentiel ». Le bordereau est le plus sournois des trois, et j’y reviens plus bas.
Chacun peut pourtant contenir une donnée sensible au sens de la LPD révisée (RS 235.1), qu’on peut traiter, mais à des conditions plus serrées. Le cadre de l’IA est dans notre guide de la nLPD appliquée à l’IA ; ici, la liste, ses effets et les documents où elle se glisse.
L'art. 5, let. c, LPD énumère six catégories : convictions religieuses, philosophiques, politiques ou syndicales ; santé, sphère intime, origine ; données génétiques ; biométrie identifiante ; poursuites et sanctions pénales ou administratives ; aide sociale. Elles imposent un consentement exprès quand il en faut un, et souvent une analyse d'impact.
Liste des données sensibles nLPD : l’art. 5, let. c, en six catégories
La définition tient en six chiffres. Le ch. 2 regroupe trois notions sous un même toit, et le ch. 6 surprend les lecteurs habitués à d’autres lois : recevoir l’aide sociale est, en droit suisse, une donnée sensible au même titre qu’un diagnostic.
Ce qui manque compte autant. La nationalité, le salaire ou le numéro AVS ne figurent pas dans la liste ; ce dernier pose d’autres problèmes, détaillés dans notre page sur ce qu’on peut faire avec un numéro AVS.
Une nationalité peut toutefois laisser deviner une origine ethnique. Celle qui trahit une origine, je la range au ch. 2.
Six catégories légales, et les papiers romands qui les portent
| Ch. | Ce que dit la loi | Où on la croise en Romandie |
|---|---|---|
| 1 | Opinions ou activités religieuses, philosophiques, politiques ou syndicales | Église choisie pour la contribution religieuse à Genève, cotisation à un syndicat retenue sur le salaire |
| 2 | Santé, sphère intime, origine raciale ou ethnique | Certificat d'incapacité de travail, demande d'aménagement de poste |
| 3 | Données génétiques | Test de paternité dans un dossier de succession |
| 4 | Données biométriques identifiant une personne de manière univoque | Timbreuse à empreinte digitale, authentification par la voix |
| 5 | Poursuites ou sanctions pénales et administratives | Extrait du casier judiciaire, retrait du permis de conduire |
| 6 | Mesures d'aide sociale | Attestation du service social, loyer garanti par l'aide sociale |
Colonne de gauche : art. 5, let. c, LPD (RS 235.1). Colonne de droite : exemples choisis par nous, pas une liste officielle.
Extrait du casier judiciaire, retrait de permis, poursuites pour dettes
Le ch. 5 parle de poursuites « pénales et administratives ». Une condamnation inscrite au casier judiciaire y entre sans discussion, comme un retrait de permis prononcé par le service des automobiles. Au verso du permis, le code 04 relève, lui, du ch. 2 : ce qu’on couvre sur une copie du permis.
Les poursuites pour dettes relèvent d’une autre loi, la LP, et la lettre de l’art. 5 ne les vise pas. Le PFPDT, dans sa page sur l’employeur, parle pourtant d’extraits du casier et des poursuites « recelant des données sensibles ».
Ce flottement ne me plaît pas. Une régie qui réclame l’extrait des poursuites à chaque candidat devrait le ranger avec le même soin que le casier.
Trois extraits, trois statuts
Choisissez le document que vous avez sous les yeux.
Donnée sensible, ch. 5. L'extrait se commande à l'Office fédéral de la justice ou à un guichet postal, pour 17 francs. Selon le PFPDT, un employeur ne peut le demander que pour un poste de confiance ou la gestion de la caisse ou de comptes de clients.
Donnée sensible, ch. 5. Un retrait est une mesure administrative. La décision du service cantonal, une lettre d'assurance qui en parle ou une phrase dans un dossier RH (« il vient en train depuis son retrait ») suffisent à la faire apparaître.
Hors de la lettre de la loi, pas hors du radar. L'art. 5 ne cite pas la LP. Le PFPDT range néanmoins cet extrait avec celui du casier, parmi les extraits « recelant des données sensibles », et demande d'appliquer les principes « avec toute la rigueur nécessaire ». La question n'est pas tranchée par un tribunal : traitez-le comme sensible.
Sources : art. 5, let. c, ch. 5, LPD ; PFPDT, « Traitement des données par l'employeur » ; Office fédéral de la justice, page « Casier judiciaire ».
Données biométriques et génétiques : la voix, l’empreinte, la photo
Le ch. 4 ne vise pas toute image d’un visage : il faut des données biométriques « identifiant une personne physique de manière univoque ». L’empreinte qu’un collaborateur pose sur la timbreuse pour timbrer en fait partie. Le PFPDT demande d’éviter le stockage sur un serveur central, au profit d’un badge que le collaborateur garde.
La voix aussi. Dans deux arrêts du 13 octobre 2026, le Tribunal administratif fédéral a jugé que PostFinance devait obtenir le consentement exprès de ses clients pour créer des empreintes vocales. Continuer à parler après l’annonce d’un enregistrement ne suffit pas. Ces arrêts peuvent encore être portés devant le Tribunal fédéral.
Un cabinet médical qui envisage une prise de rendez-vous à la voix a là sa réponse : à sa place, je ne lancerais rien sans un consentement exprès recueilli à part.
Votre outil traite-t-il des données biométriques ?
Trois questions pour une timbreuse, un contrôle d'accès ou un service téléphonique.
L'outil calcule-t-il un modèle (empreinte, visage, voix) pour reconnaître quelqu'un ?
Ces modèles sont-ils stockés sur un serveur central ?
Conservez-vous des photos ou des copies de pièces d'identité ?
D'après l'art. 5, let. c, ch. 4, LPD, la page employeur du PFPDT et les arrêts du TAF du 13 octobre 2026 résumés par le PFPDT (recours au Tribunal fédéral possible). Repère pratique, pas un avis juridique.
Le ch. 3, les données génétiques, apparaît plus rarement : un test de filiation dans une succession, un antécédent familial dans un rapport médical. Quand il apparaît, c’est dans le dossier le plus délicat de l’étude.
Consentement exprès, analyse d’impact, profilage : ce qu’elles déclenchent
Une donnée sensible ne change pas la règle de base (licéité, bonne foi, proportionnalité), elle durcit plusieurs étapes. Le consentement, quand il sert de fondement, doit être exprès. Les communiquer à des tiers constitue une atteinte à la personnalité (art. 30, al. 2, let. c), qu’il faut justifier selon l’art. 31.
L’échelle fait le reste. À grande échelle, il faut une analyse d’impact, un règlement de traitement (art. 5 OPDo) et parfois une journalisation (art. 4 OPDo) ; une PME perd aussi sa dispense de registre. Une commune qui fait trier ses dossiers d’aide sociale par une IA coche presque toutes les cases.
Le profilage à risque élevé, celui dont l’appariement de données dessine les traits de base d’une personnalité (art. 5, let. g), suit le même régime de consentement exprès. Ni la loi ni l’ordonnance ne chiffrent la « grande échelle » ; miser sur sa lecture la plus étroite est un pari perdu.
Ce que votre traitement de données sensibles déclenche
0 sur 6
Cochez au moins une ligne.
Quelques obligations ciblées : notez-les dans votre documentation interne.
Plusieurs régimes se cumulent. Documentez chacun ; dès que la ligne des centaines de personnes est cochée, l'analyse d'impact s'impose.
D'après les art. 6, 22, 30 et 31 LPD et les art. 4, 5 et 24 OPDo. Ce tableau ne remplace pas l'avis d'un juriste sur votre cas.
Si l’analyse d’impact laisse un risque élevé malgré les mesures prévues, l’art. 23 oblige à consulter le PFPDT ; une entreprise privée en est dispensée si elle a consulté son conseiller à la protection des données. Si elles fuient malgré tout, voici comment annoncer une violation au PFPDT.
Devoir de discrétion et secret professionnel : le risque pénal (art. 62 LPD)
Aucune disposition pénale de la LPD ne punit le fait de traiter une donnée sensible sans analyse d’impact. Le PFPDT peut, en revanche, ordonner d’en établir une ou de cesser le traitement (art. 51). Les autres amendes de la loi sont passées en revue face à l’usage professionnel de l’IA.
L’amende qui touche le plus directement ces données est celle de l’art. 62 : jusqu’à 250 000 francs, sur plainte, pour qui révèle intentionnellement des données secrètes apprises dans l’exercice de sa profession. Médecins et avocats répondent en plus de l’art. 321 CP, dont la portée face aux assistants d’IA est détaillée à part.
Quatre dispositions de la LPD qui touchent les données sensibles
| Disposition | Ce qui est visé | Lien avec les données sensibles |
|---|---|---|
| Art. 62 LPD | Révéler des données secrètes connues dans sa profession, amende jusqu'à 250 000 francs | Direct : diagnostics, condamnations, aide sociale sont typiquement secrets |
| Art. 61, let. c, LPD | Ne pas respecter les exigences minimales de sécurité | Indirect : la journalisation de l'art. 4 OPDo vise justement les données sensibles |
| Art. 51 LPD | Mesures du PFPDT, dont l'analyse d'impact (al. 3, let. d) | Le traitement à grande échelle est le premier exemple de l'art. 22 |
| Art. 32 LPD | Actions civiles en protection de la personnalité | Interdiction d'une communication déterminée à des tiers |
D'après la LPD (RS 235.1) dans sa version publiée sur Fedlex. Les amendes pénales visent d'abord des personnes physiques et supposent l'intention.
L’art. 62 vise aussi l’apprenti et l’employé qui travaillent pour la personne tenue au secret (al. 2). Dans un cabinet ou une fiduciaire, c’est cette ligne que j’expliquerais en premier à l’équipe. Le volet assurance est dans notre guide sur la police cyber face à l’IA.
Certificat médical, aide sociale, confession : les documents romands à relire
Les données sensibles se lisent rarement dans un titre, plutôt dans un en-tête de médecin ou un libellé de virement. Le ch. 1 se cache même dans l’impôt : à Genève, qui veut payer la contribution religieuse volontaire mentionne son Église sur sa déclaration, et le montant figure au bas du bordereau ICC.
Côté commune, la loi sur l’harmonisation de registres (RS 431.02) inscrit dans le contenu minimal du registre des habitants l’appartenance à une communauté religieuse reconnue (art. 6, let. l). Un export brut du contrôle des habitants transporte donc une donnée sensible ; notre page pour les communes romandes traite leurs autres fichiers.
Pour une fiduciaire qui monte une déclaration d’impôt, la liste s’allonge : frais de maladie déduits, dons à un parti, cotisations syndicales. Filtrez le tableau selon votre métier.
Où chercher selon votre métier
| Document | Ce qui est sensible | Ch. |
|---|---|---|
| Certificat d'incapacité de travail | Durée, et parfois la spécialité du médecin sur l'en-tête | 2 |
| Attestation du service social, garantie de loyer | Le fait d'être aidé | 6 |
| Extrait du casier judiciaire | Condamnations | 5 |
| Extrait du registre des poursuites | Hors lettre de l'art. 5, rigueur demandée par le PFPDT | (5) |
| Déclaration et bordereau ICC genevois | Église choisie pour la contribution religieuse volontaire | 1 |
| Relevé bancaire, fiche de salaire | Cotisation syndicale, don à un parti, versements à une clinique | 1, 2 |
| Export du registre des habitants | Appartenance religieuse | 1 |
| Procès-verbal d'une commission sociale | Situations individuelles d'aide | 6 |
| Copie d'un permis B ou C | En principe rien au ch. 4 : les empreintes restent dans la puce, pas sur la photocopie | (4) |
| Rappel de rendez-vous, facture | Le simple fait de consulter tel spécialiste | 2 |
Sources : art. 5 LPD ; art. 6 LHR ; AFC Genève, calcul de la CRV ; SEM, titre de séjour biométrique. Entre parenthèses : statut discuté.
Un certificat d’arrêt n’a pas à dire pourquoi. Dans une note RH, « incapacité de travail attestée » suffit presque toujours ; un diagnostic qui circule dans un e-mail interne est déjà une fuite. Pour les comptes rendus eux-mêmes, voyez comment préparer un compte rendu médical avant une IA.
Données sensibles et IA : retirer le nom, puis réduire le détail
Deux gestes, dans cet ordre. D’abord, détacher la donnée de la personne : nom, date de naissance, adresse, numéros. Ensuite, écrire la conséquence plutôt que la donnée : une chimiothérapie devient « des raisons de santé », un loyer payé par l’aide sociale « un loyer garanti par un tiers ».
Une note de gérance, avant et après
Les étiquettes remplacent l'identité ; la reformulation retire le détail sensible inutile.
Mme Sandrine Jaquier, locataire au 3e, née le 02.03.1979, nous transmet l'attestation du service social : son loyer de CHF 1 480 est pris en charge par l'aide sociale depuis mars. Elle suit une chimiothérapie et demande un report de l'état des lieux.
[PERSONNE_1], locataire au 3e, nous transmet une attestation : son loyer est garanti par un tiers. Pour des raisons de santé, elle demande un report de l'état des lieux.
Exemple inventé (personne, date et montant fictifs). Les étiquettes illustrent le masquage de l'identité ; la reformulation est faite à la main.
Ce second geste, aucun logiciel ne le fait pour vous ; un outil qui le promet, je m’en méfie. Nonimo retire ce qui identifie la personne, pas la chimiothérapie. Pensez aussi aux tiers cités en passant, comme l’enfant malade d’un collaborateur. Méthode des codes : notre guide de pseudonymisation des données clients.
Pour une note RH, une attestation ou un dossier de commission sociale à faire relire par une IA, Nonimo pour la Suisse romande remplace sur votre ordinateur les noms, dates de naissance et numéros AVS par des étiquettes avant l’envoi.
Un fichier entier passe par nos outils de masquage, donc par notre serveur. Cette page résume la loi ; elle ne tranche pas votre cas.
Sources
- Loi fédérale sur la protection des données (LPD, RS 235.1) : art. 5, 6, 22, 23, 30 à 32, 51, 61 et 62.
- Ordonnance sur la protection des données (OPDo, RS 235.11) : journalisation (art. 4), règlement (art. 5), exception au registre (art. 24).
- PFPDT, « Traitement des données par l’employeur » : empreintes digitales, extraits du casier et des poursuites.
- PFPDT, arrêts du TAF sur la reconnaissance vocale de PostFinance : consentement exprès, arrêts du 13 octobre 2026.
- Office fédéral de la justice, « Casier judiciaire » : commande de l’extrait, 17 francs.
- SEM, titre de séjour biométrique : deux empreintes et une photo numérisées dans la puce.
- État de Genève, calcul de la contribution religieuse volontaire : Église mentionnée sur la déclaration, montant sur le bordereau ICC.
Consulté le 9 novembre 2026.
Guides associés
Questions fréquentes
Quelles sont les données sensibles selon la nLPD ?
Celles des six points de l'art. 5, let. c, LPD. Convictions religieuses, politiques ou syndicales ; santé, sphère intime, origine ; génétique ; biométrie identifiante ; poursuites et sanctions pénales ou administratives ; mesures d'aide sociale.
Un extrait du registre des poursuites est-il une donnée sensible ?
Pas d'après la lettre de la loi. L'art. 5 vise les poursuites pénales et administratives, pas la LP. Le PFPDT range pourtant cet extrait, avec celui du casier, parmi ceux « recelant des données sensibles ».
Quelles données sensibles la nLPD a-t-elle ajoutées ?
Les données génétiques et la biométrie qui identifie une personne. La LPD de 1992 ne comptait que quatre points : convictions, santé et sphère intime et race, aide sociale, poursuites et sanctions. Ils restent tous dans l'art. 5.
Le numéro AVS est-il une donnée sensible ?
Non, il n'est pas dans la liste. Il relie en revanche des fichiers entre eux, ce qui justifie de le retirer d'un document quand il ne sert à rien.
L'appartenance religieuse est-elle une donnée sensible en Suisse ?
Oui, c'est le premier point de la liste. Elle figure pourtant dans les registres des habitants et, à Genève, l'Église choisie pour la contribution religieuse volontaire se lit sur la déclaration d'impôt.
Qu'est-ce que la « sphère intime » dans la nLPD ?
Une catégorie que la loi nomme sans la définir. On y range d'ordinaire la vie sexuelle et ce que la vie familiale a de plus personnel. Une telle mention appelle la même prudence qu'un diagnostic.
Peut-on transmettre des données sensibles à un tiers ?
Oui, mais c'est une atteinte à la personnalité à justifier. L'art. 30, al. 2, let. c, LPD le pose ; il faut alors le consentement, la loi ou un intérêt prépondérant (art. 31).
Nonimo masque-t-il les données sensibles ?
Non, il masque ce qui identifie la personne. Nom, date de naissance, e-mail, numéro AVS deviennent des étiquettes ; un diagnostic reste lisible. Reformulez vous-même ce dont la question n'a pas besoin.