Article 9 RGPD : Régime d'Interdiction et Exceptions pour les Données Sensibles
L'Article 9 du RGPD pose une interdiction de principe du traitement des catégories particulières de données (santé, biométrie, opinions politiques, croyances, données sexuelles, origine), assortie de 10 dérogations légales strictes et limitatives (Art. 9.2.a à 9.2.j).
Principe d'Interdiction et Typologie des Données Sensibles (Art. 9.1)
L'Article 9(1) prohibe formellement le traitement des données à caractère personnel révélant ou concernant les catégories suivantes :
- L'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ;
- L'appartenance syndicale ;
- Les données génétiques et les données biométriques aux fins d'identifier une personne physique de manière unique ;
- Les données concernant la santé, la vie sexuelle ou l'orientation sexuelle d'une personne physique.
La CJUE a confirmé (arrêt Meta Platforms C-252/21) que l'agrégation de données comportementales permettant de déduire de telles caractéristiques sensibles relève directement de ce régime strict d'interdiction.
Les 10 Dérogations Légales Exhaustives (Art. 9.2)
Le traitement d'une donnée sensible n'est possible que si une dérogation expresse de l'Article 9(2) s'applique, notamment :
- Consentement explicite (Art. 9.2.a) : Pour une ou plusieurs finalités spécifiques, sauf si le droit de l'Union ou d'un État membre interdit cette possibilité ;
- Droit du travail et sécurité sociale (Art. 9.2.b) : Nécessaire aux obligations légales de l'employeur ;
- Sauvegarde des intérêts vitaux (Art. 9.2.c) : En cas d'incapacité physique ou juridique de la personne de consentir ;
- Données manifestement rendues publiques (Art. 9.2.e) : Par la personne concernée elle-même ;
- Constatation, exercice ou défense d'un droit en justice (Art. 9.2.f) ;
- Médecine préventive, diagnostics et soins de santé (Art. 9.2.h) : Par un professionnel soumis au secret professionnel ;
- Motif d'intérêt public important (Art. 9.2.g) : Prévu par une loi proportionnée.
Un traitement de données sensibles nécessite obligatoirement une double qualification : une base légale au titre de l'Article 6(1) ET une exception au titre de l'Article 9(2).
Sources Officielles Vérifiées
Règlement général sur la protection des données — Texte de référence européen
Consulter la source officielle (Journal Officiel de l'UE (EUR-Lex)) →Publicité personnalisée : rejet de l'exécution contractuelle et de l'intérêt légitime pour le traitement massif croisé sans consentement libre
Consulter la source officielle →Traitement de données personnelles dans le cadre du développement de modèles d'IA, évaluation du risque de mémorisation/extraction, anonymisation des pondérations, intérêt légitime et mesures d'atténuation (Avis Art. 64 du CEPD)
Consulter la source officielle →Micro-Outils Opérationnels Associés
Évaluez méthodiquement les 6 fondements légaux (contrat, obligation légale, consentement...) et cadrez vos intérêts légitimes.
Vérifiez si votre projet relève des cas obligatoires de plein droit ou de la grille des 9 critères de risque élevé du CEPD.
Voir aussi dans le Référentiel
Analyse juridique de l'Article 6 du RGPD : les six bases légales alternatives de licéité, le consentement libre et le te...
Cadre juridique de l'AIPD (Art. 35 RGPD) : cas obligatoires, critères WP248 de risque élevé, méthode d'évaluation et con...
Régime de l'Article 10 du RGPD applicable aux condamnations, infractions et mesures de sûreté : base légale, garanties e...