Données sensibles RGPD : lesquelles et comment les repérer
· Mis à jour le
Joaquín Trapero in Expert en intelligence artificielle et en protection des données, fondateur de Nonimo.
Un code « 01 » dans un fichier de paie, une commande de plateaux sans porc, une salariée qui pose un congé de paternité : rien n’y dit « santé » ni « religion ». Chacun peut pourtant faire entrer un texte dans l’article 9 du RGPD.
Cette page reste sur le terrain juridique : la liste, l’inférence, les exceptions françaises, les infractions, et ce qui change quand le texte part vers une IA. Le tri des noms et numéros est fait dans notre liste des données personnelles à retirer.
Les données sensibles du RGPD sont celles de l'article 9 : origine, opinions politiques, religion ou philosophie, syndicat, génétique, biométrie d'identification, santé, vie ou orientation sexuelle. Leur traitement est interdit sauf dix exceptions. Les infractions suivent un autre régime, l'article 10.
La liste de l’article 9 du RGPD, mot pour mot
Les articles du règlement ne disent pas « données sensibles » : ils parlent de « catégories particulières de données à caractère personnel », et l’article 9 commence par une interdiction. L’expression courte figure au considérant 10, et c’est elle que la CNIL emploie.
Le verbe change selon la catégorie. Origine, opinions, religion et syndicat : le texte vise les données qui les « révèlent ». Santé et sexualité : celles qui les « concernent ». La biométrie n’entre que si elle sert à identifier quelqu’un de manière unique.
L’article 6 de la loi Informatique et Libertés reprend la liste, en écrivant « la prétendue origine raciale ». On dirait un détail de juriste ; c’est pour moi la ligne la plus utile. La Cour de justice s’en est servie pour élargir la catégorie.
Les huit familles de l'article 9, et où on les croise
La ligne en couleur est la plus fréquente dans un service RH.
| Catégorie | Le mot du RGPD | Un papier ordinaire qui la porte |
|---|---|---|
| Origine raciale ou ethnique | « révèle » | Un signalement au référent harcèlement qui cite une insulte raciste |
| Opinions politiques | « révèle » | L'autorisation d'absence d'un salarié élu conseiller municipal |
| Convictions religieuses ou philosophiques | « révèle » | Une commande nominative de plateaux « sans porc » pour un séminaire |
| Appartenance syndicale | « révèle » | La lettre du syndicat qui désigne un délégué syndical |
| Données génétiques | « données génétiques » | Un résultat d'analyse génétique joint à un dossier d'invalidité |
| Données biométriques | « aux fins d'identifier une personne physique de manière unique » | Le gabarit d'empreinte d'un contrôle d'accès |
| Santé | « concernant la santé » | L'avenant d'un temps partiel thérapeutique |
| Vie ou orientation sexuelle | « concernant » | Le congé de paternité et d'accueil de l'enfant demandé par la conjointe de la mère |
Article 9, paragraphe 1, du RGPD ; article 6 de la loi n° 78-17 ; pour le congé, article L. 1225-35 du code du travail. Les exemples de papiers sont les nôtres. Même une carte rose porte des codes médicaux : voir ce qu'on masque sur un permis.
Une donnée qui « révèle » : ce qu’a jugé la CJUE en 2022
L’affaire C-184/20, jugée en grande chambre le 1er août 2022, partait de Lituanie. Une loi y publiait en ligne les déclarations d’intérêts des dirigeants d’organismes financés par des fonds publics, y compris le nom de leur conjoint, concubin ou partenaire.
La Cour a relevé que ce nom pouvait trahir l’orientation sexuelle du déclarant. Pour elle, « révèle » couvre la déduction, et les catégories en « concernant » ne sont pas moins protégées. Une donnée qui dévoile indirectement une information sensible relève de l’article 9.
Le passage que je préfère est ailleurs, au point 114 : les intérêts du conjoint, concubin ou partenaire peuvent être publiés, mais « de manière non nominative ». C’est le geste de minimisation qu’on attend d’un prompt, et qu’on oublie dans les notes d’une présentation.
La même déclaration, avant et après le raisonnement de la Cour
Le nom du partenaire disparaît, l'intérêt à déclarer reste.
Erwan Castellane, directeur de l'association. Conjoint : Mathis Ribérac, kinésithérapeute libéral, prestataire de l'association depuis 2024.
Directeur de l'association. Conjoint, concubin ou partenaire : activité libérale de santé, prestataire de l'association depuis 2024.
Personnes et association inventées. Le raisonnement suit les points 114 et 119 à 128 de l'arrêt C-184/20 et le communiqué de presse n° 133/22 de la Cour. Une étiquette à la place d'un nom ne rend pas le texte anonyme : la différence est expliquée ici.
Le droit français n’a pas attendu Luxembourg. L’article 226-19 du code pénal vise déjà les données qui, « directement ou indirectement », font apparaître l’origine, les opinions ou l’appartenance syndicale. L’inférence était dans le texte pénal bien avant l’arrêt.
Exceptions de l’article 9.2 et ajouts de la loi Informatique et Libertés
Une donnée sensible demande deux fondements : une base de l’article 6 et l’une des dix exceptions de l’article 9.2. Le consentement explicite, premier de la liste, est celui dont je me méfie le plus entre un employeur et son salarié.
L’article 44 de la loi Informatique et Libertés ajoute six cas français : soins par une personne tenue au secret, statistiques de l’Insee, santé d’intérêt public, biométrie au travail selon les règlements types, réutilisation des décisions de justice, recherche publique.
Choisissez votre situation : chaque exception porte une condition, et c’est souvent elle qu’un usage de l’IA met en tension.
Quelle exception vous couvre ?
Cinq situations fréquentes en France.
Point b) : obligations et droits en droit du travail, sécurité sociale et protection sociale, autorisés par la loi ou une convention collective. Condition : le traitement doit être nécessaire à ces obligations. Une paie externalisée relève du même point ; les experts-comptables la traitent pour le compte de l'employeur.
Point f) : constatation, exercice ou défense d'un droit en justice. Pour les infractions, l'article 46 de la loi range l'avocat parmi les auxiliaires de justice, « pour les stricts besoins » de sa mission. Le secret professionnel s'ajoute : voir notre page pour les cabinets.
Point d) : fondation, association ou organisme à but non lucratif à finalité politique, philosophique, religieuse ou syndicale. Conditions : seulement les membres, anciens membres ou contacts réguliers, et aucune communication hors de l'organisme sans leur consentement. Détail dans la section syndicale plus bas.
Point h) : gestion des systèmes et services de protection sociale, avec des personnes tenues au secret (article 9, paragraphe 3). La fiche CNIL sur les formalités santé range la prise en charge des prestations par les complémentaires parmi les traitements sans formalité préalable, mais à inscrire au registre. Le cabinet médical relève aussi du point h) : voir l'IA pour les professionnels de santé.
Article 44 de la loi française : biométrie strictement nécessaire au contrôle d'accès aux locaux, aux appareils et aux applications, si le dispositif suit les règlements types de la CNIL. Hors de ce cadre, il faut une autre exception, et l'empreinte n'a rien à faire dans un tableur partagé.
RGPD, article 9, paragraphes 2 et 3 ; loi n° 78-17, articles 44 et 46. Une simplification : chaque point a d'autres conditions que celles résumées ici.
Arrêt maladie, RQTH, DSN : les données de santé d’un service RH
L’arrêt de travail arrive à l’employeur sans diagnostic, à la différence d’un compte rendu médical. Il reste une donnée de santé, et la paie le formalise : le signalement d’arrêt en DSN porte une rubrique « Motif de l’arrêt » (S21.G00.60.001), où 01 signifie maladie.
La RQTH suit une autre pente. Service-public.fr le dit sans détour : la déclarer à l’employeur n’est pas obligatoire. Une fois déclarée, en revanche, elle entre dans la DSN : tout employeur, même sous 20 salariés, déclare chaque mois le statut de ses travailleurs handicapés.
Ces fichiers voyagent avec le numéro de sécurité sociale, qui n’est pas une catégorie de l’article 9 mais obéit à ses propres règles. Un export DSN complet n’a rien à faire dans un assistant grand public, même pour vérifier un calcul d’indemnités.
Où vit la santé d'un salarié
La ligne en couleur circule chaque mois sans qu'on y pense.
| Pièce | Ce qu'elle dit | Ce qu'on en déduit |
|---|---|---|
| Signalement d'arrêt en DSN | Motif 01, date du dernier jour travaillé, fin prévisionnelle | Une maladie, sa durée probable |
| DSN mensuelle | Statut de bénéficiaire de l'obligation d'emploi | Un handicap reconnu |
| Courrier de RQTH remis par le salarié | La décision de reconnaissance | Un handicap, parfois sa nature |
| Avenant de temps partiel thérapeutique | Un horaire réduit après un arrêt | Une reprise après une maladie |
| Échange avec la mutuelle sur une prise en charge | Un soin, un établissement | Un traitement, parfois une spécialité |
Net-entreprises, fiche sur les arrêts de travail en DSN (mise à jour le 17 février 2023) ; service-public.fr pour la RQTH et la déclaration mensuelle. Dernière colonne : notre lecture. Les tableurs de paie gardent aussi des colonnes masquées.
Adhésion syndicale, association, cantine : la catégorie sans le mot
En France, le bulletin de paie ne trahit pas l’adhésion : l’article L. 2141-6 du code du travail interdit à l’employeur de prélever les cotisations syndicales sur les salaires. Le fichier des adhérents vit donc au syndicat lui-même, sous le point d) de l’article 9.2.
Ce point d) a une condition peu relue : aucune communication hors de l’organisme sans le consentement des personnes. Un éditeur d’IA sous-traitant est-il « hors de l’organisme » ? Le texte ne tranche pas. Dans le doute, la liste des adhérents ne part pas.
La cantine pose la même question par un autre biais. Une liste nominative de repas « sans porc » ou « sans viande » peut révéler une conviction religieuse ou philosophique. Les communes qui gèrent la restauration scolaire ont leurs propres enjeux face à l’IA.
Dans l'organisme, hors de l'organisme
Le point d) de l'article 9.2 ne couvre que la colonne de gauche.
Couvert par le point d)
Fichier des adhérents et anciens adhérentsContacts réguliers liés à la finalitéUsage par l'organisme, dans ses activités légitimesUne question à l'IA sur les cotisations, sans aucun nomHors du point d)
La liste envoyée à un tiers sans consentementDes personnes sans lien régulier avec l'organismeLe fichier collé tel quel dans un assistant : à trancher avec votre DPORGPD, article 9, paragraphe 2, point d) ; code du travail, article L. 2141-6. La dernière case est notre lecture, pas une position de la CNIL. Une charte IA peut fixer la règle pour les bénévoles.
Données d’infraction : l’article 10 et la liste fermée de la loi française
Condamnations, infractions, mesures de sûreté : ce n’est pas l’article 9 mais l’article 10, qui les réserve à l’autorité publique ou à un traitement autorisé par la loi. La France a dressé une liste fermée, à l’article 46 de la loi de 1978.
Pour une entreprise victime, la porte est étroite : préparer, exercer ou suivre une action en justice. Et une phrase pèse lourd face à un outil : la communication à un tiers n’est permise qu’aux mêmes conditions, au strict nécessaire.
Qui peut traiter des données d'infraction en France
Les cinq cas de l'article 46. La ligne en couleur concerne la plupart des entreprises.
| Qui | Dans quelle limite | Et vers un assistant d'IA ? |
|---|---|---|
| Juridictions, autorités publiques, gestionnaires d'un service public | Leurs attributions légales | Selon les règles de chaque administration |
| Auxiliaires de justice (avocats…) | Les stricts besoins de leurs missions | Seulement ce que la mission exige |
| Victimes, mis en cause, ou leurs mandataires | Préparer, exercer, suivre une action ; faire exécuter la décision | Un tiers n'est admis qu'aux mêmes conditions |
| Sociétés de gestion de droits d'auteur | La défense des droits qu'elles gèrent | Même logique |
| Réutilisateurs des décisions de justice | Sans réidentifier les personnes | Pas de réidentification par recoupement |
Loi n° 78-17, article 46, texte publié par la CNIL. Dernière colonne : notre lecture. Si un dossier pénal est déjà parti, voyez s'il faut notifier la CNIL.
Le code pénal ferme la boucle : l’article 226-19 punit des mêmes peines la conservation de données d’infraction hors des cas prévus par la loi.
Mon avis pour un service RH : un extrait de casier ou une mention de garde à vue ne va dans aucun assistant. Les avocats ont intérêt à le prévoir dans leur convention d’honoraires.
Preuve salariale et données sensibles : où en est la directive 2023/970
Un salaire n’est pas une donnée sensible. La directive (UE) 2023/970 sur la transparence des rémunérations touche pourtant l’article 9 : elle vise la discrimination intersectionnelle, fondée sur le sexe et un autre motif, comme le handicap ou l’origine.
Son article 3, paragraphe 3, n’oblige pas à collecter des données sur d’autres motifs que le sexe. L’article 12 interdit d’utiliser les données traitées pour l’information des salariés, le rapport ou l’évaluation conjointe à une autre fin que l’égalité de rémunération.
La preuve pèse ailleurs. Si le salarié apporte des faits qui laissent présumer une discrimination, l’article 18 fait peser la preuve contraire sur l’employeur. Son dossier invoquera parfois un arrêt long ou un mi-temps thérapeutique. Ces lignes, je les sortirais d’un export de paie avant toute analyse assistée.
Directive 2023/970 : l'état au 8 novembre 2026
Ce qui s'applique, ce qui attend la loi française.
Le texte européen
Adopté le 10 mai 2023Date limite de transposition : 7 juin 2026Article 3.3 : aucune collecte nouvelle sur les autres motifsArticle 12 : pas d'autre finalité que l'égalité de rémunérationEn France
Projet de loi n° 944 déposé au Sénat le 10 septembre 2026Procédure accélérée, première lecture au SénatPas encore de loi : le délai européen est dépasséEUR-Lex, directive (UE) 2023/970 ; dossier législatif du Sénat, mis à jour le 8 octobre 2026. À revérifier avant toute décision. Pour un assistant déployé par l'employeur, l'AI Act ajoute ses propres obligations.
Données sensibles dans une IA générative : base légale, AIPD, minimisation
L’exception invoquée couvre votre finalité, pas l’outil. L’éditeur qui lit le texte pour vous est un sous-traitant, lié par un contrat conforme à l’article 28. S’il réutilise vos prompts pour lui-même, aucune exception ne le suit : voyez ce que garde ChatGPT.
L’article 35 exige une analyse d’impact pour le traitement « à grande échelle » de données des articles 9 ou 10. Trois dossiers soumis à un assistant, sans doute pas ; un outil branché sur tout le SIRH, très probablement. Le reste relève du test des deux critères.
Reste la minimisation. La CNIL met en garde contre les zones de commentaire libres, où glissent des données de santé que la personne lira grâce à son droit d’accès. Un prompt en est une, et un outil conforme n’y change rien.
Ce texte sensible peut-il partir vers l'assistant ?
Trois questions, dans l'ordre où elles se posent.
La question posée à l'IA a-t-elle besoin du fait sensible (le diagnostic, le syndicat, la religion) ?
L'outil est-il couvert par un contrat de sous-traitance qui interdit la réutilisation de vos données ?
Les noms, numéros et dates qui désignent la personne sont-ils remplacés ?
RGPD, articles 5, 9, 28 et 35 ; CNIL, « Vérifier la pertinence des données ». Une grille de travail, pas un avis juridique.
Le volet pénal existe aussi : cinq ans d’emprisonnement et 300 000 euros d’amende pour qui conserve en mémoire informatisée des données sensibles hors des cas prévus par la loi, sans consentement exprès (article 226-19). À mon sens, il vise les fichiers plus que les prompts.
Un texte sensible parti par erreur, c’est presque toujours un copier-coller, rarement un piratage, comme le montre notre page sur les fuites vers l’IA.
Si une attaque est en cause, l’assurance cyber impose ses propres délais.
![Une commande de plateau « sans porc » remplacée par [RÉGIME_1] : une donnée sensible RGPD qui révèle une conviction](/guias/fr/donnees-sensibles-repas-sans-porc-etiquette.webp "Un repas sans porc, donnée sensible")
Avant de coller une note RH sensible : ce que je réduis, ce que je masque
Deux gestes, dans cet ordre. D’abord ramener chaque fait sensible à ce que la question exige. Ensuite remplacer ce qui désigne la personne. Le second se rate facilement dans une pièce scannée, qu’il faut caviarder pour de bon.
Une note de paie, en trois états
La question posée : combien de jours de carence restent dus ?
Gwenaëlle Raffestin, matricule M-0000-17, 06 00 00 00 58. Arrêt depuis le 2 septembre (suivi en oncologie), mi-temps thérapeutique prévu, repas sans porc à la cantine du site.
Gwenaëlle Raffestin, matricule M-0000-17, 06 00 00 00 58. Arrêt maladie depuis le 2 septembre, mi-temps thérapeutique prévu.
[PERSONNE_1], matricule [REFERENCE_1], [TELEPHONE_1]. Arrêt maladie depuis le 2 septembre, mi-temps thérapeutique prévu.
Personne, matricule et numéro de téléphone inventés. Le troisième état montre des étiquettes au format de Nonimo, posées à la main pour l'exemple. « Arrêt maladie » reste une donnée de santé, mais rattachée à personne pour l'éditeur.
Le spécialiste et la cantine n’apportaient rien au calcul des jours de carence. C’est ce genre de ligne qui me gêne le plus : on la laisse par habitude, et c’est elle qui fait passer la note dans l’article 9.
Le second geste, Nonimo le fait sur votre ordinateur, Mac ou PC Windows : noms, matricules, numéros et adresses d’une note RH sont remplacés avant le collage dans l’assistant, puis rétablis dans la réponse. Le tri des faits sensibles reste le vôtre.
Le texte ne quitte pas votre poste pour être masqué, comme le détaille notre page sécurité. En cas de doute sur une exception, votre DPO tranche, pas cette page.
Sources
- Règlement (UE) 2016/679, texte intégral sur EUR-Lex : articles 4 (point 15), 5, 9, 10, 28 et 35, considérant 51.
- Directive (UE) 2023/970 sur la transparence des rémunérations, EUR-Lex : articles 3, 12, 18 et 34 (transposition au plus tard le 7 juin 2026).
- Cour de justice de l’UE, communiqué de presse n° 133/22 : arrêt C-184/20 du 1er août 2022, données qui dévoilent indirectement des informations sensibles.
- Loi n° 78-17, article 6, Légifrance : la liste française et la « prétendue origine raciale ».
- Code pénal, article 226-19, Légifrance : cinq ans et 300 000 euros, données sensibles et données d’infraction.
- CNIL, la loi Informatique et Libertés : article 44 (exceptions françaises) et article 46 (données d’infraction).
- CNIL, « Vérifier la pertinence des données » : zones de commentaire libres, droit d’accès, données d’infraction.
- Net-entreprises, gestion des arrêts de travail en DSN : rubrique S21.G00.60.001, motif 01 maladie.
- Service-public.fr, la RQTH : la déclaration à l’employeur n’est pas obligatoire.
- Service-public.fr Entreprendre, déclaration d’emploi des travailleurs handicapés : déclaration mensuelle en DSN, même sous 20 salariés.
- Sénat, dossier du projet de loi n° 944 : transposition de la directive 2023/970, déposé le 10 septembre 2026.
- Code du travail numérique, article L. 2141-6 : pas de prélèvement des cotisations syndicales sur les salaires.
Consulté le 8 novembre 2026.
Guides associés
Questions fréquentes
Quelles sont les données sensibles en RGPD ?
Ce sont les huit familles listées à l'article 9 du RGPD. Origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, syndicat, génétique, biométrie servant à identifier, santé, vie ou orientation sexuelle.
Quelles sont les exceptions à l'article 9 du RGPD ?
Il y en a dix, du point a) au point j) de l'article 9.2. Consentement explicite, droit du travail, défense en justice, soins, intérêt public… L'article 44 de la loi Informatique et Libertés ajoute six cas français.
Quels sont les 3 types de données personnelles ?
Le RGPD ne fait pas de classement officiel en trois. L'usage distingue pourtant les données ordinaires, les données sensibles de l'article 9 et les données d'infraction de l'article 10, chacune avec son régime.
Une donnée d'infraction est-elle une donnée sensible ?
Non, pas au sens de l'article 9. Elle relève de l'article 10 du RGPD et, en France, de la liste fermée de l'article 46 de la loi Informatique et Libertés.
La DSN contient-elle des données sensibles ?
Oui, à commencer par le motif d'un arrêt de travail. Le signalement d'arrêt porte un code, 01 pour la maladie, et la DSN mensuelle déclare aussi le statut de travailleur handicapé.
Qu'est-ce que le principe de minimisation ?
C'est ne traiter que les données nécessaires à la finalité. L'article 5 du RGPD les veut adéquates, pertinentes et limitées. Pour un prompt, cela veut dire ôter tout fait sensible dont la question se passe.
La transparence salariale oblige-t-elle à collecter des données sensibles ?
Non, pas au titre de la directive 2023/970. Son article 3, paragraphe 3, précise que la discrimination intersectionnelle n'ajoute aucune obligation de collecter des données sur d'autres motifs que le sexe.