Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Données de santé dans le dossier du personnel, modèles biométriques dans le système de contrôle d’accès, appartenance religieuse dans la paie : de nombreuses entreprises stockent des données sensibles sans l’avoir consciemment prévu. Le RGPD les place sous une protection particulière. Cela vaut aussi lorsque les appareils contenant ces données sont mis au rebut.

Que dit l’art. 9 du RGPD ?

L’art. 9, par. 1 du RGPD énumère de manière exhaustive les catégories particulières. Elles sont considérées comme si sensibles que leur divulgation peut nuire considérablement aux personnes, par exemple par la discrimination.

Catégorie	Exemple en entreprise
Origine raciale ou ethnique	Informations figurant dans les dossiers de candidature
Opinions politiques	Appartenance à un parti dans les dossiers du personnel
Convictions religieuses ou philosophiques	Confession pour l’impôt ecclésiastique
Appartenance syndicale	Retenue de la cotisation sur la paie
Données génétiques	Résultats dans des systèmes de laboratoire ou de médecins
Données biométriques aux fins d’identification unique	Modèles d’empreintes digitales dans le système de pointage ou de contrôle d’accès
Données de santé	Certificats d’arrêt de travail, dossiers de médecine du travail
Vie sexuelle ou orientation sexuelle	Informations figurant dans des dossiers de conseil ou de suivi

Les données relatives aux condamnations pénales ne constituent pas une catégorie particulière au sens de l’art. 9. La règle propre de l’art. 10 du RGPD s’applique à elles, qui exige toutefois elle aussi une protection stricte.

Quand le traitement est-il autorisé ?

L’art. 9, par. 2 du RGPD énumère des exceptions à l’interdiction. Pour les entreprises, sont surtout importants le consentement explicite, les obligations issues du droit du travail et du droit social, les finalités de médecine préventive et de médecine du travail ainsi que la constatation de droits en justice. En Allemagne, le § 22 BDSG ajoute d’autres autorisations et exige expressément des garanties appropriées.

Que cela signifie-t-il pour le matériel informatique mis au rebut ?

La protection ne prend pas fin avec l’utilisation d’un appareil. Tant que les données se trouvent sur le support de données, le responsable du traitement doit les sécuriser de manière appropriée au titre de l’art. 32 du RGPD. Pour les catégories particulières, le besoin de protection est en règle générale élevé. Cela a une incidence sur :

• Choix de la méthode : Seules des méthodes d’effacement avec vérification ou une destruction physique entrent en ligne de compte.
• Logistique : Des conteneurs scellés et des remises documentées réduisent le risque de perte.
• Déclaration : Les certificats d’effacement ou de destruction par numéro de série attestent la responsabilité.
• Prestataire : Un contrat de sous-traitance au titre de l’art. 28 du RGPD règle les instructions et les mesures de protection.

Vous déterminez le niveau du besoin de protection dans une Détermination du besoin de protection. Si des supports de données contenant des données de santé sont perdus, une notification à l’autorité de contrôle est presque toujours nécessaire, souvent aussi l’information des personnes concernées. Pour les médecins, les cabinets d’avocats et les assureurs, s’applique en outre le secret professionnel selon le § 203 StGB.

Les catégories particulières chez Second IT

Second IT enlève les supports de données avec sa propre logistique sécurisée, contrôle à la réception des marchandises tous les appareils quant à la présence de supports de stockage et les enregistre par numéro de série. L’effacement est réalisé avec Blancco, avec un certificat d’effacement signé numériquement pour chaque appareil. Ce qui ne peut pas être effacé est détruit en interne selon DIN 66399 (jusqu’à H-5 et E-5). Plus d’informations sur les mesures de sécurité des données et dans le guide Éliminer les supports de données en conformité avec le RGPD. Cette entrée ne remplace pas un conseil juridique.

Questions fréquentes sur l’art. 9 du RGPD

Les arrêts maladie constituent-ils des catégories particulières de données à caractère personnel ?

Oui. Les certificats d’arrêt de travail contiennent des données de santé au sens de l’art. 9 du RGPD, même lorsqu’aucun diagnostic n’est indiqué. Les systèmes et supports de données sur lesquels ils sont enregistrés ont donc un besoin de protection élevé.

Une photo est-elle une donnée biométrique ?

Pas automatiquement. Une photo ne devient une donnée biométrique au sens de l’art. 9 que lorsqu’elle est traitée au moyen d’une technique spécifique afin d’identifier une personne de manière unique, par exemple dans la reconnaissance faciale.

L’effacement suffit-il, ou de tels supports de données doivent-ils être détruits ?

Le RGPD ne prescrit aucune méthode précise. Une méthode d’effacement éprouvée avec justificatif par support de données peut suffire. Si un support de données ne peut pas être effacé de manière sûre, par exemple en raison d’un défaut, la destruction est la bonne voie.

Les données relatives aux infractions pénales relèvent-elles de l’art. 9 du RGPD ?

Non. Les données relatives aux condamnations pénales ne constituent pas une catégorie particulière au sens de l’art. 9. La règle propre de l’art. 10 du RGPD s’applique à elles, qui exige elle aussi une protection stricte. Vous devriez donc traiter avec le même soin les supports de données contenant de telles informations.

Dois-je notifier la perte d’un support de données contenant des données de santé ?

Presque toujours, oui. Si des supports de données contenant des données de santé sont perdus, une notification à l’autorité de contrôle est en règle générale nécessaire. Les personnes concernées doivent souvent aussi être informées. Des conteneurs scellés et des remises documentées réduisent le risque de perte.