Les données personnelles en entreprise
Module 2 / 5
2.3 Données sensibles : santé, biométrie, syndicat
Certaines données touchent au cœur de l'intimité et révèlent des aspects de la vie privée susceptibles de donner lieu à discrimination. Le RGPD les place dans une catégorie à part — leur traitement est en principe interdit, sauf exceptions précisément définies.
Qu'est-ce qu'une donnée « sensible » ?
L'article 9 du RGPD définit huit catégories de données dites « particulières » — communément appelées « sensibles ». Leur traitement est interdit par principe (article 9-1) sauf à se rattacher à l'une des dix exceptions limitativement énumérées (article 9-2).
Origines & convictions
- Origine raciale ou ethnique
- Opinions politiques
- Convictions religieuses ou philosophiques
- Appartenance syndicale
Identité physique & santé
- Données génétiques
- Données biométriques aux fins d'identification unique
- Données concernant la santé
- Vie sexuelle ou orientation sexuelle
Données quasi-sensibles : le cas particulier des condamnations pénales
L'article 10 du RGPD encadre séparément les données relatives aux condamnations pénales et infractions. Leur traitement n'est possible qu'avec une autorité publique compétente ou un texte spécifique. Un employeur ne peut pas, en principe, demander un casier judiciaire à un candidat — sauf exigence légale du poste (sécurité, manipulation de fonds, accès à des zones sensibles).
Les 10 exceptions de l'article 9-2
L'interdiction n'est pas absolue. Voici les exceptions les plus fréquemment invoquées en entreprise :
| Exception | Cas typique en entreprise |
|---|---|
| Consentement explicite | Reste rare en entreprise (relation déséquilibrée). Plutôt utilisé en santé, recherche, témoignages |
| Droit du travail / sécurité sociale | Suivi des arrêts maladie, déclaration d'AT/MP, statut RQTH si déclaré |
| Médecine du travail | Visites médicales, fiches d'aptitude (par le médecin du travail uniquement) |
| Sauvegarde d'intérêts vitaux | Fiche de secours d'urgence (allergies, contre-indications) |
| Manifestement rendues publiques | Engagements politiques publics, appartenance syndicale revendiquée publiquement |
| Constatation / exercice de droits en justice | Production de pièces dans un contentieux prud'homal |
Données de santé : le secret médical comme garde-fou
Aucune entreprise n'a légitimement besoin de connaître la pathologie d'un salarié en arrêt. La règle est claire et constamment rappelée par la CNIL.
Ce que peut savoir l'employeur
- Le fait qu'un arrêt de travail existe (date début/fin)
- L'aptitude / inaptitude au poste (notifiée par le médecin du travail)
- Les restrictions ou aménagements préconisés (sans le diagnostic)
- L'origine professionnelle ou non d'un AT/MP (pour la déclaration)
Ce qui est interdit
- Demander la pathologie (« vous avez quoi ? »)
- Demander des certificats médicaux détaillés
- Stocker les arrêts maladie en clair dans un fichier accessible largement
- Mentionner l'état de santé dans des évaluations
Le secret médical (article L1110-4 Code santé publique) oppose au médecin du travail toute communication du diagnostic à l'employeur. C'est une protection essentielle du salarié.
Biométrie sur le lieu de travail : extrêmement encadrée
Empreinte digitale, reconnaissance faciale, reconnaissance vocale, scan d'iris, géométrie de la main : autant de données biométriques. Leur usage en entreprise est restrictivement autorisé et soumis au Règlement type CNIL biométrie (2019).
Conditions cumulatives
- Nécessité absolue démontrée (pas un confort)
- Pas d'alternative moins intrusive disponible
- AIPD (Analyse d'Impact) obligatoire avant déploiement
- Stockage sur support individuel (badge) plutôt que base centrale
- Information complète des salariés et consultation du CSE
Cas typiques admis
- Accès à une zone hautement sécurisée (laboratoire P3, SCIF défense)
- Manipulation de matières dangereuses ou réglementées
- Accès à des données à fort enjeu (R&D, défense, secret industriel)
Cas non admis : simple pointeuse, contrôle d'accès au parking, badge cantine.
Sanction CNIL marquante
En 2018, la CNIL a sanctionné une entreprise de transport ayant déployé un dispositif d'identification par empreinte digitale pour ses salariés sans démontrer la nécessité. Le simple confort de gestion ne justifie pas l'usage de la biométrie.
Appartenance syndicale, opinions, religion : la prudence absolue
Conserver dans un fichier RH la mention « syndiqué CGT » ou « pratiquant religieux » expose à la fois à une sanction CNIL et à un contentieux pour discrimination (Code du travail, art. L1132-1).
Cas où ces informations sont licitement traitées
- Représentants du personnel : la mention de l'appartenance syndicale du délégué est légitime dans le cadre des heures de délégation et bulletins de paie
- Élections professionnelles : listes des candidats par syndicat (durée limitée au scrutin)
- Accommodements religieux ponctuels : aménagement d'horaires consenti, mais sans création de fichier spécifique
Synthèse du chapitre
- →Article 9 : 8 catégories de données sensibles, traitement interdit par principe
- →10 exceptions limitatives — la médecine du travail et le droit du travail sont les plus invoquées
- →L'employeur n'a pas accès au diagnostic — le secret médical est protégé
- →La biométrie sur le lieu de travail exige une AIPD et une nécessité absolue démontrée