Santé, religion, syndicat : les données sensibles dans vos documents
Les articles 9 et 10 du RGPD définissent les données sensibles. Découvrez où elles se cachent dans vos documents et comment les masquer correctement.
Les données sensibles forment la catégorie de données personnelles la plus protégée par le RGPD. Elles concernent la santé, la religion, les opinions politiques et l'appartenance syndicale. Elles se cachent dans des documents ordinaires : une fiche de paie, un arrêt maladie, un témoignage. Ce guide vous montre où elles se cachent et comment les masquer correctement.
Elle se glisse tout aussi facilement dans un formulaire scanné, un fil d'e-mails ou un tableau partagé. Une seule phrase peut suffire à la révéler.
Que sont les données sensibles au sens du RGPD ?
L'article 9 du RGPD liste neuf catégories particulières. Le traitement de ces données est interdit par défaut, sauf exception prévue par la loi, comme le consentement explicite ou une obligation liée au droit du travail.
- L'origine raciale ou ethnique
- Les opinions politiques
- Les convictions religieuses ou philosophiques
- L'appartenance syndicale
- Les données génétiques
- Les données biométriques (utilisées pour identifier une personne)
- Les données de santé
- La vie sexuelle
- L'orientation sexuelle
L'article 10 couvre une dixième catégorie : les condamnations pénales et les infractions. Le RGPD la traite séparément de l'article 9, mais presque aussi strictement. Le texte réserve ce traitement aux autorités officielles, sauf autorisation prévue par le droit de l'Union ou une loi nationale. Un extrait de casier judiciaire relève de ce régime renforcé.
Cette distinction compte en pratique. Les garanties et les exceptions de l'article 10 ne sont pas identiques à celles de l'article 9. Confondre les deux listes mène souvent à la mauvaise base légale.
Où se cachent les données sensibles dans vos documents ?
Ce type de donnée ne reste pas dans un dossier médical. Elle se glisse dans des documents professionnels ordinaires, souvent à côté d'un nom ou d'un matricule. Une fois sur papier ou dans un PDF, elle voyage à chaque partage du fichier.
| Document | Où la donnée apparaît | Que faire |
|---|---|---|
| Dossier du personnel | Un arrêt maladie ou une demande d'aménagement pour handicap | Masquez le détail médical lui-même, pas seulement le nom du salarié |
| Fiche de paie | Une ligne de cotisation syndicale | Masquez toute la ligne, pas seulement le montant |
| Note de frais | Un reçu lié à une fête religieuse ou un régime alimentaire particulier | Masquez le nom du commerçant et la description ensemble |
| Témoignage ou pièce de procédure | Une mention de la santé, de la religion ou de l'orientation sexuelle d'une partie | Masquez la phrase entière, pas seulement le nom |
Pourquoi les détecteurs automatiques les manquent-ils ?
Un détecteur d'IBAN ou d'adresse e-mail cherche un format fixe de lettres et de chiffres. La santé et la religion ne fonctionnent pas ainsi. Ce sont des mots ordinaires qui ne deviennent sensibles qu'à cause de ce qu'ils révèlent, dans cette phrase précise, sur cette personne.
Un détecteur de numéros de téléphone ne repérera jamais le mot chimiothérapie écrit deux lignes plus haut. Aucun format fixe ne relie un diagnostic à la personne qu'il concerne : il faut lire la phrase, pas la scanner.
Comment bien minimiser les données sensibles ?
Minimiser une donnée sensible veut dire retirer toute la phrase, pas seulement le nom de la personne. Prenons Claire Exemple, dont le dossier contient cette note : « Claire demande le vendredi après-midi pour un motif religieux. » Noircir « Claire » laisse le fait sensible parfaitement lisible. Il faut masquer la phrase entière.
- Lisez toute la phrase ou le champ avant de décider quoi masquer.
- Masquez le fait lui-même : le diagnostic, la croyance, le nom du syndicat, pas seulement le nom juste à côté.
- Vérifiez aussi les champs voisins : un intitulé de poste, un service ou une photo peuvent révéler le même fait.
- En cas de doute, retirez le passage plutôt que d'estimer sa sensibilité.
ONYRI Sanitize n'a pas de détecteur pour les termes médicaux, religieux ou syndicaux. Ces mots dépendent du contexte, pas d'un motif fixe, donc aucun outil automatique ne les repère bien. Ses détecteurs repèrent en revanche les identifiants directs juste à côté : noms, numéros, adresses, dates. Pour masquer les mots sensibles eux-mêmes, ajoutez-les avec la liste « Masquer aussi » ou une règle personnalisée, puis vérifiez l'aperçu avant de télécharger.
Qui a besoin de savoir, quand vous partagez ce type de donnée ?
Le besoin d'en connaître est la règle dès qu'une donnée sensible doit circuler. Un médecin, un assureur ou un tribunal n'a souvent besoin que d'un seul fait du dossier, pas du document entier. N'envoyez que ce qui répond à leur question précise.
Envoyer le dossier complet parce que c'est plus rapide ne fait qu'ajouter du risque. Chaque page en trop est un endroit de plus où un fait atteint quelqu'un qui n'en avait pas besoin.
| Destinataire | Ce dont il a besoin | Ce qu'il faut retirer |
|---|---|---|
| Médecin du travail | L'aptitude à un poste précis | Tout l'historique médical sans lien avec ce poste |
| Assureur qui traite un sinistre | Les faits liés directement au sinistre | Les détails médicaux ou personnels sans lien |
| Tribunal ou partie adverse | Les faits réellement en cause dans l'affaire | La religion, la santé ou le syndicat d'un témoin, si ce n'est pas en cause |
Masquer un nom ne suffit pas pour ce type de donnée. C'est le contexte autour qui porte le vrai risque. Relisez chaque phrase avant d'envoyer un document, et retirez complètement un fait quand il n'est pas nécessaire.
Faites de cette vérification une habitude, surtout pour les dossiers RH, juridiques et d'assurance qui circulent souvent entre équipes. Cette habitude prend une minute. Un diagnostic divulgué ou une carte syndicale révélée ne s'efface pas ensuite.
Questions fréquentes
- Un arrêt maladie est-il une donnée sensible ?
- Oui. Un arrêt maladie révèle un élément de santé, protégé par l'article 9 du RGPD. Masquez le motif de l'absence, pas seulement le nom du salarié.
- Un lieu de naissance révèle-t-il l'origine ethnique ?
- Pas à lui seul. Les autorités allemandes de protection des données considèrent un lieu de naissance isolé comme une donnée ordinaire. Il ne devient sensible qu'associé à d'autres indices sur l'origine. Plusieurs petits indices ensemble peuvent tout de même créer un risque.
- Peut-on traiter une donnée sensible avec le consentement de la personne ?
- Oui, le consentement explicite est l'une des exceptions de l'article 9, paragraphe 2, du RGPD. Dans un dossier de travail, une loi précise ou un accord collectif sert souvent de base réelle à la place.
- Un extrait de casier judiciaire est-il une donnée sensible au sens strict ?
- Non. L'article 10 du RGPD couvre séparément les condamnations et les infractions, avec des règles presque aussi strictes. Un casier judiciaire relève de ce régime renforcé, à traiter avec le même soin.
- Retirer le nom suffit-il à rendre une phrase sensible partageable ?
- Non. Le fait lui-même, comme un diagnostic ou une pratique religieuse, identifie encore la personne pour qui connaît le contexte. Il faut masquer la phrase entière.
Sources et références
- Règlement (UE) 2016/679 (RGPD) : articles 4, 9 et 10 — EUR-Lex
- Définition : donnée sensible — CNIL
- Minimiser les données collectées — CNIL
- Kurzpapier n° 17 : Besondere Kategorien personenbezogener Daten (en allemand, 27 mars 2018) — Datenschutzkonferenz (DSK)
Masquez un document sans l'envoyer nulle part
ONYRI Sanitize repère les noms, identifiants, coordonnées bancaires et secrets dans un PDF, un Word ou un scan, et les masque dans votre navigateur. Vous relisez l'aperçu, puis vous téléchargez une copie aplatie.