Catégories particulières de données : ne pas confondre base juridique et exceptions de l’article 9
Par Christophe CHAMPOUSSIN • Gérant ANAXIA CONSEIL • 2 juin 2019 • Newsletter ANAXIA CONSEIL
Les catégories particulières de données (ce que l’on appelait avant le RGPD les « données sensibles ») sont listées à l’article 9 du RGPD :
Origine raciale ou ethnique ;
Opinions politiques ;
Convictions religieuses ou philosophiques ;
Appartenance syndicale ;
Données génétiques ;
Données biométriques aux fins d'identifier une personne physique de manière unique ;
Données concernant la santé ;
Données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.
Le principe est l’interdiction du traitement de telles données.
Interdiction … sauf si l’une des conditions du 2 de l’article 9 s’applique.
Exemple : pour le traitement de données telles que des allergies alimentaires (qui sont des données de santé) par un employeur (dans le cadre de l’organisation de repas), on pourra de baser sur le consentement explicite des employés (9.2.a).
Mais il ne faut pas confondre ce 9.2 avec l’article 6 qui nous dit que tout traitement de données à caractère personnel doit reposer sur au moins l’une des 6 conditions suivantes (dites conditions de licéité ou encore bases juridiques) :
La personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
Le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ;
Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;
Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.
On peut donc par exemple avoir un traitement qui repose sur l’intérêt légitime du responsable de traitement (application de l’article 6) mais qui nécessite le recueil de données de santé, recueil nécessitant le consentement explicite des personnes concernées.
