Déclaration CNIL — Traitement de données sensibles (RGPD

L'article 9 du RGPD liste huit catégories dites « sensibles » : données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques, les données biométriques aux fins d'identification unique, les données concernant la santé, et les données relatives à la vie sexuelle ou à l'orientation sexuelle. Les données relatives aux infractions et condamnations pénales constituent un régime distinct, régi par l'article 10 RGPD et les dispositions spécifiques de la loi Informatique et Libertés modifiée. Toute entreprise traitant les catégories de l'article 9 doit documenter la base légale applicable parmi les dix exceptions prévues à l'article 9.2 RGPD.

Oui. L'article 35.3 b) RGPD impose une Analyse d'Impact relative à la Protection des Données (AIPD) pour tout traitement à grande échelle de données de l'article 9. La CNIL a publié une liste des traitements nécessitant obligatoirement une AIPD (délibération n° 2018-327 du 11 octobre 2018). Même en dehors de la grande échelle, dès que le traitement présente un risque élevé pour les droits et libertés, l'AIPD est requise. Elle doit être documentée par écrit, comprendre une description du traitement, une évaluation de la nécessité, une appréciation des risques et les mesures envisagées pour y faire face.

Lorsque l'AIPD conclut à un risque résiduel élevé que le responsable de traitement ne peut atténuer seul, l'article 36 RGPD impose une consultation préalable de la CNIL avant tout traitement. La CNIL dispose d'un délai de 8 semaines à compter de la réception du dossier complet pour émettre un avis écrit. Ce délai est prorogeable de 6 semaines supplémentaires (soit 14 semaines au total) en cas de complexité, la CNIL devant alors informer le responsable de traitement dans le mois suivant la réception. Pendant cette période, aucun traitement de données sensibles ne peut débuter.

Le responsable de traitement (dirigeant ou DPO désigné) est juridiquement accountable au sens de l'article 5.2 RGPD. Si un Délégué à la Protection des Données (DPO) a été désigné — obligation pour les organismes traitant à grande échelle des données sensibles (article 37.1 c) RGPD) —, il doit être consulté lors de la réalisation de l'AIPD conformément à l'article 35.2 RGPD. En l'absence de DPO obligatoire, le responsable de traitement peut réaliser l'AIPD lui-même ou mandater un prestataire externe, tout en conservant la responsabilité finale. La CNIL recommande d'impliquer les équipes métier concernées.

Les sanctions sont doubles. Au plan administratif, l'article 83.5 RGPD permet à la CNIL d'infliger une amende allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel (le montant le plus élevé étant retenu). En 2024, la CNIL a prononcé plusieurs sanctions supérieures à 3 millions d'euros pour traitement illicite de données de santé. Au plan pénal, l'article 226-19 du Code pénal punit de 5 ans d'emprisonnement et 300 000 euros d'amende le fait de collecter des données sensibles sans base légale ou hors des cas prévus par la loi.

Oui, sans exception. L'article 30.5 RGPD prévoit que les organismes de moins de 250 personnes sont exemptés du registre sauf si le traitement est susceptible de comporter un risque pour les droits et libertés des personnes, s'il n'est pas occasionnel, ou s'il porte sur des catégories particulières de données au sens de l'article 9. Dès lors qu'une PME traite des données sensibles — même ponctuellement —, la tenue d'un registre détaillé (finalités, base légale, durée de conservation, destinataires, mesures de sécurité) est obligatoire sous peine de sanction pouvant atteindre 10 millions d'euros (article 83.4 RGPD).