Données sensibles RGPD : où elles se cachent dans vos dossiers

Pour le RGPD, une donnée sensible est une information qui révèle l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, la santé, la vie ou l’orientation sexuelle d’une personne, ou une donnée génétique ou biométrique qui l’identifie. Dans un cabinet d’avocats, d’expertise comptable ou un service RH, trois reviennent sans cesse : la santé, le syndicat, la religion.

Elles n’arrivent presque jamais sous leur nom. Elles se glissent dans un arrêt de travail joint à un mail, un mandat de délégué syndical, une demande d’aménagement d’horaires, un dossier de divorce. C’est pour cela qu’on les colle dans un assistant sans y penser, avec le reste du dossier.

Cette page part du papier français : où les données sensibles RGPD se trouvent dans les dossiers qu’un cabinet manipule chaque semaine, pourquoi l’article 9 change la manière de les confier à une IA, et ce qu’on retire avant l’envoi. Le dossier patient est traité à part, dans notre page sur les courriers et comptes rendus des médecins ; la technique pour nettoyer un fichier entier, en-têtes compris, a son propre guide.

Données sensibles RGPD : la liste de l’article 9 et la loi de 1978

Le règlement européen les appelle catégories particulières de données à caractère personnel, et l’article 9 pose un principe inhabituel dans ce texte : leur traitement est interdit. Tout le reste de l’article organise les exceptions, dix en tout, du consentement explicite à la recherche scientifique.

La loi Informatique et Libertés reprend la liste à son article 6, dans la rédaction en vigueur depuis le 1er juin 2019, avec une nuance que le texte européen n’a pas : elle parle de la « prétendue origine raciale ». Pour le reste, elle renvoie aux exceptions du règlement. La CNIL, dans sa définition, emploie le terme que tout le monde tape dans un moteur de recherche : données sensibles.

La liste, rapportée au papier d’un cabinet

La liste est courte. Ce qui compte, c’est l’endroit où chaque catégorie se présente dans les documents d’un cabinet français, et ce n’est presque jamais une case intitulée « religion ».

catégorie de l’article 9	où elle apparaît dans un dossier
origine raciale ou ethnique	récit d’un salarié qui dénonce une discrimination
opinions politiques	mandat électif, demande d’asile, courriel militant
convictions religieuses ou philosophiques	demande d’horaires, congé pour une fête, dossier familial
appartenance syndicale	mandat de délégué, fiche annexée au bulletin, reçu fiscal
données génétiques ou biométriques	expertise de filiation, pointeuse à empreinte
santé	arrêt de travail, RQTH, avis d’inaptitude, certificat
vie ou orientation sexuelle	nom d’un conjoint ou d’un partenaire, récit de harcèlement

Règlement (UE) 2016/679, article 9, paragraphe 1, et loi n° 78-17, article 6. Les exemples de papier sont de Nonimo.

Interdit sauf exception : ce que cela change en pratique

Pour une donnée personnelle ordinaire, il suffit d’une des bases de l’article 6 du RGPD : un contrat, une obligation légale, un intérêt légitime. Pour une donnée sensible, il faut en plus que le traitement entre dans l’une des exceptions de l’article 9. C’est une double condition, et c’est elle qui rend la question de l’IA plus étroite qu’ailleurs.

La plupart des cabinets en ont une sans le savoir. L’employeur et son expert-comptable traitent la santé ou le mandat d’un salarié parce que le droit du travail les y oblige. L’avocat les traite parce qu’il défend un droit en justice.

La portée exacte de chacune est examinée plus loin. Pour trier les assistants eux-mêmes, notre crible des quatre grands outils sert de point de départ, et pour les professions tenues au secret, le tableau de ce qui peut aller dans ChatGPT.

Données sensibles RGPD dans les papiers d’un cabinet français

Chaque métier a ses documents, et chacun de ces documents a ses endroits où l’article 9 entre sans frapper. Voici ceux qu’un cabinet français rencontre le plus souvent, avec les textes qui en fixent la forme.

La fiche de paie, et la fiche qu’on lui annexe

Contrairement à une idée répandue, la cotisation syndicale ne figure pas sur le bulletin. L’article L. 2141-6 du code du travail interdit à l’employeur de prélever les cotisations syndicales sur les salaires de son personnel et de les payer à sa place. Le bulletin ne dit donc rien de l’adhésion d’un salarié.

Il en dirait pourtant beaucoup, sans la règle suivante. L’article R. 3243-4 interdit de faire mention sur le bulletin de l’exercice du droit de grève ou de l’activité de représentation des salariés. La rémunération de cette activité figure sur une fiche annexée, qui a le même régime juridique que le bulletin et que l’employeur remet au salarié.

R. 3243-4

Cette fiche annexée est précisément le document qu’on ne voit pas passer. Un gestionnaire de paie qui colle un bulletin dans un assistant pour vérifier un calcul d’heures y joint souvent la fiche.

Or un délégué syndical est désigné par une organisation syndicale (article L. 2143-3) : la fiche d’un délégué révèle donc son appartenance. Pour un élu du CSE sans étiquette, elle révèle un mandat, pas un syndicat. Notre page pour les experts-comptables part d’une question de paie de ce genre.

La déclaration de revenus, cases 7AC et 7UH

La cotisation que l’employeur ne voit pas réapparaît chez l’expert-comptable qui prépare la déclaration de revenus. L’administration fiscale l’explique ainsi : les cotisations versées à un syndicat représentatif ouvrent droit à un crédit d’impôt égal à 66 % de leur total, dans la limite de 1 % des salaires et pensions, à reporter case 7AC, 7AE ou 7AG de la déclaration 2042 RICI, reçu du syndicat à l’appui.

Le reçu porte le nom du syndicat. Dans un dossier fiscal de particulier, c’est l’une des rares pièces qui énonce l’appartenance syndicale en toutes lettres, et on la scanne avec les autres justificatifs.

Le même formulaire en contient une autre. Les dons et cotisations versés à un parti ou à un groupement politique se déclarent case 7UH et donnent droit à une réduction d’impôt de 66 %, avec un plafond de 7 500 euros par personne et par an. Le reçu nomme le parti : c’est une opinion politique, rangée avec les justificatifs fiscaux.

66 %des cotisations syndicales, en crédit d'impôt

1 %des salaires et pensions, le plafond de ce crédit

7 500 €par personne et par an, le plafond des dons à un parti

Les reçus de dons racontent la même chose autrement. Un reçu établi par une paroisse, une association cultuelle ou une œuvre confessionnelle dit à quelle religion le foyer donne. Dans la pochette annuelle d’un client, ces reçus voisinent avec les factures de frais de garde, et personne ne les regarde comme des données sensibles.

L’arrêt de travail, la RQTH et l’avis d’inaptitude

L’avis d’arrêt de travail sépare le médical de l’administratif. La notice de l’Assurance maladie répartit les volets : ceux qui portent les renseignements médicaux vont au service médical de la caisse, le volet 3 va à l’employeur. En théorie, le motif ne franchit jamais la porte de l’entreprise.

En pratique, le salarié l’écrit lui-même dans un courriel, le manager le répète au service RH, et le tout arrive chez l’avocat quand le dossier se tend. La RQTH suit la même pente. Service Public le rappelle : la déclarer à l’employeur n’est pas obligatoire, mais une fois déclarée, elle vit dans le dossier. Le code du travail définit le travailleur handicapé par l’altération d’une fonction physique, sensorielle, mentale ou psychique : la RQTH est une donnée de santé.

Le dossier prud’homal

Devant le conseil de prud’hommes, les catégories de l’article 9 sont souvent l’objet même du litige. L’article L. 1132-1 interdit de sanctionner ou de licencier en raison, notamment, des convictions religieuses, des activités syndicales, de l’état de santé ou de l’orientation sexuelle. Une requête pour discrimination énonce donc le motif, et les pièces le documentent.

L. 1132-1

Le dossier réunit aussi les attestations de collègues, les certificats médicaux produits comme preuve, les comptes rendus d’entretien. Et parfois un nom de plus : le salarié peut être assisté par un défenseur syndical, inscrit sur une liste arrêtée sur proposition des organisations d’employeurs et de salariés (article L. 1453-4). Le secret qui couvre ces pièces est l’objet de notre page destinée aux avocats.

Le dossier de la famille et celui de l’étranger

Un dossier de droit de la famille rassemble ce que l’article 9 énumère presque en entier : la santé d’un enfant, une éducation religieuse invoquée par l’un des parents devant le juge aux affaires familiales, un nouveau conjoint, et dans une action en filiation, une expertise génétique. Rien n’y est rangé par catégorie : tout est dans le récit.

Le dossier d’un étranger est plus exposé encore. Le titre de séjour délivré en raison de l’état de santé, prévu à l’article L. 425-9 du code de l’entrée et du séjour des étrangers, se décide après l’avis d’un collège de médecins de l’OFII : la pathologie est au cœur de la demande.

Une demande d’asile, elle, raconte des persécutions liées à une religion, à une opinion politique ou à une orientation sexuelle. Les services publics qui instruisent ces dossiers ont leur propre page.

Les données sensibles qu’on ne voit pas comme telles

Le mot qui compte, dans l’article 9, est « révèle ». Le texte ne vise pas seulement les données qui déclarent une religion ou un syndicat, mais celles qui les font apparaître. Et c’est là que se trouvent la plupart des données sensibles d’un dossier ordinaire.

Les juges de Luxembourg l’ont dit en grande chambre le 1er août 2022, dans l’affaire C-184/20 : la publication de données personnelles susceptibles de dévoiler, de manière indirecte, des informations sensibles constitue un traitement de catégories particulières. Dans cette affaire, les données en cause comprenaient le nom du conjoint, du concubin ou du partenaire du déclarant.

Cinq phrases banales, cinq catégories

Voici ce que contient, sans jamais nommer la catégorie, un dossier RH ou contentieux courant :

la phrase du dossier	ce qu’elle révèle
« Elle demande à ne plus travailler le vendredi après-midi. »	avec la mention de la prière, une conviction religieuse
« Il a posé douze heures de délégation en février. »	un mandat, et pour un délégué syndical, une appartenance
« Absente depuis le 3 mars, elle nous a transmis un certificat. »	un état de santé, même sans diagnostic
« Il vit avec son compagnon, Thomas, qui a appelé pour lui. »	parfois une orientation : le prénom d’un conjoint peut suffire
« Il pose chaque année un jour de congé pour Kippour. »	une conviction religieuse

Phrases inventées par Nonimo, lues à la lumière de l’article 9, paragraphe 1, du RGPD.

Aucune de ces phrases ne sera repérée par un outil qui cherche des mots comme « religion » ou « syndicat ». Aucune n’est nécessaire, non plus, à la plupart des questions qu’on pose à un assistant sur le dossier qui la contient.

Le NIR, qui n’est pas de l’article 9 mais s’en approche

L’article 9 ne cite pas le numéro d’inscription au répertoire. Mais ce numéro encode le sexe, l’année, le mois et le lieu de naissance, et il accompagne presque toujours les pièces de santé. Un décret de 2019 en encadre l’usage à part, et notre page sur le compte rendu médical le décrit bloc par bloc.

Salariés, justiciables : le motif qui autorise le cabinet ne suit pas le texte

La question qui se pose dès qu’on ouvre un assistant est simple à formuler. Le cabinet a le droit de traiter la santé d’un salarié ou le mandat syndical d’un client ; a-t-il pour autant le droit de confier ce texte à l’éditeur d’une IA ?

L’article 9 donne deux réponses partielles, selon qui l’on est. Le point b) autorise le traitement nécessaire aux obligations et aux droits du responsable en matière de droit du travail, de sécurité sociale et de protection sociale. Le point f) autorise celui qui est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.

Une exception couvre une finalité, pas un destinataire

Ces deux exceptions disent pourquoi vous pouvez traiter la donnée. Elles ne disent rien de l’outil qui la lit. Si vous confiez le texte à un éditeur, celui-ci traite la donnée pour votre compte, et le RGPD lui donne un nom et un régime : sous-traitant, lié par un contrat qui répond à l’article 28, qui n’agit que sur vos instructions.

Tout ce que l’éditeur ferait pour lui-même, améliorer ses modèles par exemple, n’est plus votre finalité. Aucune des exceptions que vous invoquez ne le couvre. D’où l’importance de savoir ce que chaque service garde, et pendant combien de temps : nous l’avons relevé pour ChatGPT et pour Claude.

La minimisation, qui s’applique avec plus de force

L’article 5 du RGPD limite les données traitées à ce qui est nécessaire au regard de la finalité. Pour une donnée ordinaire, c’est déjà la règle. Pour une donnée sensible, c’est la condition même de l’exception qui est en jeu : le point b) comme le point f) parlent de traitement « nécessaire ». Un diagnostic collé dans une question qui porte sur un délai de préavis n’est pas nécessaire.

Ce que dit le code pénal

La France y ajoute un volet pénal. L’article 226-19 du code pénal punit le fait, hors les cas prévus par la loi et sans le consentement exprès de l’intéressé, de mettre ou de conserver en mémoire informatisée des données qui font apparaître, directement ou indirectement, l’origine, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale, la santé, l’orientation sexuelle ou l’identité de genre. La peine encourue va jusqu’à cinq ans de prison et 300 000 euros.

5 ans et 300 000 €

Un cabinet qui traite ces données pour défendre un salarié ou tenir une paie agit en principe dans un cas prévu par la loi, et nous ne prétendons pas que coller un texte dans un assistant tombe sous ce texte. Sa présence dans le code dit autre chose : le législateur français place ces catégories à part.

Et quand un dossier complet est déjà parti, on entre dans le régime des violations de données, avec ses trois étapes avant de savoir si la CNIL doit être prévenue.

Ce dont le modèle a besoin, et ce qui reste au cabinet

Le point de départ, c’est la question. Pour dire si une rupture conventionnelle est envisageable, un assistant doit connaître les faits qui modifient la réponse juridique. L’identité, le diagnostic et le nom du syndicat n’en font pas partie, et le raisonnement tient tout autant avec « une salariée protégée » à la place d’un nom.

Réduire la catégorie à sa conséquence juridique

La méthode la plus sûre consiste à remplacer le fait sensible par ce qu’il change en droit. Un délégué syndical ne peut être licencié qu’après autorisation de l’inspecteur du travail (article L. 2411-3), et une rupture conventionnelle avec un salarié protégé suit la même voie (article L. 1237-15). Pour la question, « salariée protégée » dit tout ce qui compte. Le sigle du syndicat n’y ajoute rien.

dans le dossier	ce que la question demande vraiment
déléguée syndicale CGT	salariée protégée
dépression réactionnelle, certificat du 3 mars	en arrêt maladie depuis six mois
RQTH depuis 2023	travailleuse handicapée, si la question porte sur l’aménagement
prière du vendredi	rien, à moins que la demande soit le sujet
nom du nouveau conjoint	« un nouveau conjoint »
collège de médecins de l’OFII, pathologie	demande de titre pour soins

Exemples construits par Nonimo sur des dossiers inventés.

Quand la question porte justement sur l’article 9

Il arrive que le fait sensible soit le sujet. Dans un dossier de discrimination religieuse, l’assistant ne peut pas raisonner sans la religion ; dans un contentieux d’inaptitude, il a besoin de savoir de quelle restriction médicale il s’agit. La catégorie reste alors dans le texte, et c’est tout le reste qui doit partir : l’identité, les dates précises, le lieu de travail, les noms des collègues.

C’est aussi le cas où le choix de l’outil pèse le plus. Un assistant grand public, sans contrat de sous-traitance, n’est pas l’endroit où décrire la foi d’un salarié nommé.

Un service souscrit par le cabinet, sous contrat, sans réutilisation des données, change le cadre sans changer le principe : la minimisation s’applique toujours, et la version la plus courte de la question reste la meilleure. Pour dire au client que son dossier passe par un tel outil, la clause type de la lettre de mission propose une rédaction.

Pseudonymiser n’est pas anonymiser

Une fois le fait sensible réduit, restent les identifiants : noms, dates, adresses, numéros. Les remplacer par des étiquettes s’appelle pseudonymiser, et le RGPD en tire une conséquence nette : le texte reste une donnée personnelle, et une donnée sensible s’il en contient, tant que quelqu’un peut refaire le lien. Ce quelqu’un, c’est vous, et c’est bien le but. La différence entre les deux notions, et les pièges propres à un fichier entier, sont détaillés dans un guide à part.

Le mail d’une DRH à son avocat, avant et après

Voici un courriel tel qu’un service RH pourrait l’adresser à son avocat en droit social, et tel qu’un cabinet d’avocats pourrait être tenté de le coller dans un assistant pour préparer sa réponse. Tout y est inventé : les noms, les adresses, les numéros, et le 31 avril, qui n’existe pas.

Maître,

Je vous transmets le dossier de Mme Nadia Belkacem, née le 31/04/1984,
N° de sécurité sociale : 2 84 04 99 999 000 65, matricule 000417,
domiciliée 0 rue des Tanneurs, 69000 Lyon, tél. 06 39 98 00 01.

Elle est en arrêt de travail depuis le 3 mars (dépression réactionnelle,
selon le certificat qu'elle nous a remis) et bénéficie d'une RQTH depuis 2023.
Elle est déléguée syndicale CGT et a posé 12 heures de délégation en février.
Elle demande à ne plus travailler le vendredi après-midi pour la prière.

Pouvons-nous envisager une rupture conventionnelle ?
Julien Morel, DRH, j.morel@exemple.fr

Après la touche, le même courriel devient :

Maître,

Je vous transmets le dossier de Mme [PERSONNE_1], née le [DATE_NAISSANCE_1],
N° de sécurité sociale : [REFERENCE_1], matricule [REFERENCE_2],
domiciliée [ADRESSE_1], [ADRESSE_2], tél. [TELEPHONE_1].

Elle est en arrêt de travail depuis le 3 mars (dépression réactionnelle,
selon le certificat qu'elle nous a remis) et bénéficie d'une RQTH depuis 2023.
Elle est déléguée syndicale CGT et a posé 12 heures de délégation en février.
Elle demande à ne plus travailler le vendredi après-midi pour la prière.

Pouvons-nous envisager une rupture conventionnelle ?
Julien Morel, DRH, [E-MAIL_1]

Cette sortie est réelle : c’est celle de la 0.2.8, le 25 septembre 2026. Le paragraphe central n’a pas bougé d’un mot, parce que Nonimo retire qui est concerné, pas ce dont il s’agit. L’arrêt, la RQTH, le mandat et la prière restent dans le texte, et de votre côté ce courriel relève toujours de l’article 9.

Nonimo tourne sur l’ordinateur, Mac ou PC Windows. Vous surlignez quelques lignes, ou vous lui confiez un fichier .docx ou .pdf, vous pressez la touche, et le texte se colle dans n’importe quel assistant avec des étiquettes à la place des identifiants. La réponse revient par le même geste, valeurs d’origine rétablies.

Ce qui permet de rendre à chaque étiquette sa valeur d’origine demeure sur votre disque, chiffré avec la conversation. Chez nous n’arrive, chaque jour, qu’un décompte d’usage, jamais un mot de vos documents. L’inventaire complet, limites comprises, est sur la page sécurité.

Six réflexes avant de coller un extrait

Pour un cabinet, la règle tient sur une feuille, que l’associé relit avec ses collaborateurs et son assistante, et que l’on garde près de l’écran.

1. Le dossier ne part jamais en bloc : seulement l’extrait dont la question a besoin.
2. On lit le passage en se demandant ce qu’il révèle, pas seulement ce qu’il dit : santé, syndicat, religion, conjoint.
3. Chaque fait sensible est réduit à sa conséquence en droit, ou retiré si la question n’en a pas besoin.
4. Les identifiants passent à la touche, puis on relit les signatures, les prénoms seuls et les numéros abrégés.
5. Les pièces jointes comptent : la fiche annexée au bulletin, le reçu du syndicat, le certificat.
6. La réponse de l’assistant se relit avant d’entrer au dossier, parce que c’est le cabinet qui signe.

Pour donner à ces réflexes une forme opposable dans une structure qui a des salariés, notre modèle de charte IA fournit la trame. Et si le cabinet met un assistant à la disposition de toute l’équipe, il devient déployeur au sens de l’AI Act, avec les obligations que nous avons détaillées.

Le papier ne change pas, le geste, si

Les données sensibles RGPD ne sont pas nouvelles dans un cabinet français. Elles y sont depuis toujours, dans les arrêts de travail, les mandats, les dossiers de famille. Ce qui change avec l’IA, c’est le moment où elles peuvent sortir : non plus dans une photocopie oubliée, mais dans les trois secondes d’un copier-coller. C’est à ce moment-là que la relecture doit avoir lieu.

Sources

Cette page est revue à chaque modification de l’un de ces textes. Les liens Légifrance peuvent refuser un robot ; ils s’ouvrent normalement dans un navigateur.

• Règlement (UE) 2016/679, articles 5 à 11, dans le texte publié par la CNIL : l’interdiction de l’article 9, paragraphe 1, et ses exceptions, dont le point b) (droit du travail, sécurité sociale et protection sociale) et le point f) (constatation, exercice ou défense d’un droit en justice) ; l’article 5 et la minimisation.
• Règlement (UE) 2016/679, chapitre 1, définitions : l’article 4, pour la pseudonymisation, qui suppose des informations supplémentaires gardées à part, et pour les données concernant la santé.
• Règlement (UE) 2016/679, chapitre 4, dans le texte publié par la CNIL : l’article 28, le contrat qui lie le sous-traitant au responsable du traitement.
• Loi n° 78-17 du 6 janvier 1978, article 6, version en vigueur depuis le 1er juin 2019 : la liste des données sensibles et la « prétendue origine raciale ».
• CNIL, définition de la donnée sensible : le principe d’interdiction et ses principales exceptions.
• Cour de justice de l’Union européenne, communiqué de presse n° 133/22, 1er août 2022, affaire C-184/20 : les données susceptibles de dévoiler de manière indirecte des informations sensibles relèvent des catégories particulières.
• Code pénal, article 226-19, version en vigueur depuis le 1er juin 2019 : cinq ans d’emprisonnement et 300 000 euros d’amende.
• Code du travail, article L. 2141-6 : l’interdiction de prélever les cotisations syndicales sur les salaires.
• Code du travail, article R. 3243-4 : ni grève ni activité de représentation sur le bulletin de paie, et la fiche annexée.
• Code du travail, article L. 2143-3 : la désignation du délégué syndical par l’organisation syndicale.
• Code du travail, article L. 1132-1 : les motifs de discrimination interdits, dont les convictions religieuses, les activités syndicales, l’état de santé et l’orientation sexuelle.
• Code du travail, article L. 1453-4 : le défenseur syndical devant les conseils de prud’hommes.
• Code du travail, article L. 2411-3 et article L. 1237-15 : l’autorisation de l’inspecteur du travail pour le licenciement d’un délégué syndical et pour la rupture conventionnelle d’un salarié protégé.
• Code du travail, article L. 5213-1 : la définition du travailleur handicapé.
• impots.gouv.fr, cotisation syndicale et crédit d’impôt : 66 % des cotisations, plafond de 1 %, cases 7AC, 7AE ou 7AG de la déclaration 2042 RICI.
• impots.gouv.fr, dons à un parti politique : case 7UH de la déclaration 2042 RICI, réduction de 66 %, plafond de 7 500 euros par personne et par an.
• Assurance maladie, notice de l’avis d’arrêt de travail : la répartition des volets entre le service médical et l’employeur.
• Service Public, la RQTH, vérifiée le 24 mars 2026 : la déclaration à l’employeur n’est pas obligatoire.
• Code de l’entrée et du séjour des étrangers et du droit d’asile, article L. 425-9 : le titre de séjour pour raison de santé et l’avis du collège de médecins de l’OFII.
• Nos propres relevés, sur la 0.2.8 et en date du 25 septembre 2026, pour le courriel ci-dessus et ce que notre application en a fait. Les noms, adresses et numéros sont inventés.