Chapitre 5.1 — Les catégories particulières (art. 9)

⏱️ TL;DR — L’article 9 dresse la liste des données les plus sensibles : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques traitées aux fins d’identifier une personne, données de santé, données concernant la vie sexuelle ou l’orientation sexuelle. Pour toutes, le principe est l’interdiction de les traiter — sauf si une exception précise s’applique (au premier rang : le consentement explicite). Le piège du dev : une donnée peut être sensible par déduction (un régime alimentaire révèle une religion, une adhésion à une association révèle un engagement). Repérer une donnée art. 9, c’est déclencher un régime renforcé : base légale spéciale, accès très restreint, sécurité maximale, souvent une AIPD.

🎯 Objectifs

• Citer les huit familles de catégories particulières de l’article 9.
• Comprendre le régime interdiction de principe + exceptions.
• Repérer une donnée sensible par déduction, pas seulement en façade.
• Savoir ce que « donnée art. 9 » déclenche concrètement dans une architecture.

L’interdiction de principe

La logique de l’article 9 est inversée par rapport au reste du RGPD. Pour une donnée ordinaire, la question est « ai-je une base légale ? » (art. 6). Pour une donnée sensible, la question devient d’abord « ai-je le droit d’y toucher du tout ? ». Le texte pose une interdiction générale de traiter ces catégories, puis rouvre la porte par une liste fermée d’exceptions. Autrement dit : par défaut, non ; et si oui, seulement pour un motif précis, documenté, et avec des garanties renforcées.

Point crucial que beaucoup ratent : une exception de l’art. 9 ne remplace pas la base légale de l’art. 6, elle s’ajoute. Traiter une donnée de santé licitement, c’est cocher deux cases : une exception de l’art. 9.2 et une base de l’art. 6. Le consentement explicite peut servir aux deux, mais ce sont bien deux fondements distincts à documenter.

La liste des huit familles

⚠️ Piège — Croire qu’une donnée n’est sensible que si elle nomme explicitement la santé, la religion ou l’origine. Faux. Le RGPD vise les données qui révèlent ces informations, même indirectement. Un champ « menu sans porc / sans viande » à la cantine révèle une conviction religieuse ; une case « transport adapté » révèle un handicap ; une photo révèle l’origine. Ces données deviennent art. 9 par déduction — et doivent être protégées comme telles.

Sensible par déduction : le vrai piège du dev

C’est le point le plus mal compris, et le plus dangereux dans une base de données. Une colonne anodine en apparence peut être une porte d’entrée vers une donnée sensible dès qu’elle permet de déduire une information de l’article 9.

// ❌ Ces champs "administratifs" sont en réalité des données SENSIBLES par déduction.
type FicheEleve = {
  id: string
  nom: string
  regimeCantine: "standard" | "sans_porc" | "sans_viande" | "halal" | "casher" // → religion
  transportAdapte: boolean          // → handicap (santé)
  languePremiere: string            // → origine ethnique possible
  notesLibres: string               // → tout et n'importe quoi finit ici
}

Le champ regimeCantine avec des valeurs comme halal ou casher révèle une conviction religieuse : c’est une donnée de l’art. 9. On ne la traite donc pas comme une simple préférence : base légale spéciale, accès limité au strict nécessaire (le service de restauration, pas toute l’équipe), et surtout on se demande si on a vraiment besoin de la raison. Souvent, « sans porc / sans viande / avec viande » suffit à préparer le repas sans révéler la religion — c’est de la minimisation appliquée au sensible.

💡 Réflexe — Avant de créer un champ, demande-toi : « La valeur de ce champ peut-elle laisser deviner la santé, l’origine, la religion, l’opinion, le syndicat ou l’orientation d’une personne ? » Si oui, tu es sous l’article 9. Deux issues : soit tu captures moins (une préférence neutre plutôt que sa cause), soit tu bascules ce champ dans le régime renforcé (accès restreint, chiffrement, base légale spéciale). Le pire est le champ notes en texte libre, ouvert à tous : c’est là que le sensible s’accumule à ton insu.

Les exceptions : quand le traitement redevient possible

L’article 9.2 énumère les cas — et seulement ceux-là — où l’interdiction est levée. Les plus utiles à connaître :

Deux points de vigilance. D’abord, le consentement explicite est plus exigeant que le consentement ordinaire : il ne peut pas résulter d’une case pré-cochée ni d’un usage implicite, il doit être spécifique à la donnée sensible et à sa finalité, et aussi facile à retirer qu’à donner. Ensuite, « manifestement rendues publiques » ne veut pas dire « qu’on a trouvées quelque part » : il faut un acte délibéré de la personne de rendre l’information publique.

🧭 Sur FormaCampus — La plateforme croise plusieurs de ces catégories. Côté LMS scolaire, elle héberge des aménagements de handicap (santé) et parfois des régimes de cantine (religion) : données art. 9, à isoler du reste. Côté organisme de formation, elle peut avoir à traiter l’appartenance syndicale d’un formateur (bulletins de paie, droit du travail). Le bon réflexe produit est architectural : ces champs ne vivent pas dans la table users accessible à tout le back-office, mais dans un espace cloisonné, chiffré, avec un contrôle d’accès par rôle, et une finalité + exception + base légale documentées au registre pour chacun. Tant qu’on ne peut pas répondre « sur quelle exception de l’art. 9 ? », on ne collecte pas.

🔒 Côté personne concernée — Pour un élève ou un stagiaire, ces données touchent à l’intime : sa santé, ses croyances, son orientation. Il attend qu’elles servent uniquement à ce pour quoi il les a confiées (obtenir un aménagement, un repas adapté), qu’elles ne « fuitent » pas vers d’autres services de l’établissement, et qu’on ne les lui demande pas quand ce n’est pas nécessaire. Le simple fait de poser la question « quelle est votre religion ? » sans motif légitime est déjà une atteinte.

📚 Le texte — La liste des catégories particulières et l’interdiction de principe sont à l’article 9.1 du RGPD ; les exceptions à l’article 9.2. Les données pénales relèvent d’un régime distinct, l’article 10 (voir le chapitre 5.4). Rappel des sanctions : un manquement aux données sensibles relève du palier le plus élevé de l’article 83 (jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial).

✏️ Exercices

Exercice 1 — Sensible ou pas ? Pour chaque champ d’une fiche apprenant, dis s’il relève de l’article 9 (éventuellement par déduction) et pourquoi : (a) dateNaissance, (b) regimeAlimentaire = "casher", (c) tiersTemps = true (temps majoré à l’examen), (d) villeNaissance, (e) photoProfil.

Exercice 2 — Trouve l’exception. Un organisme de formation veut enregistrer, à la demande du stagiaire, un aménagement pour dyslexie afin de lui accorder un temps majoré. Sur quel(s) fondement(s) peut-il traiter cette donnée de santé ?

Exercice 3 — Minimiser le sensible. La cantine d’un collège a besoin de préparer les bons repas. Le premier jet du formulaire propose un champ religion (liste déroulante). Propose une conception plus conforme.

🧠 Quiz de révision

Chapitre suivant : Données de santé & handicap — le cas EdTech central : pourquoi les aménagements (PAP, PPS, tiers-temps) sont des données de santé, et comment les protéger sans jamais les noyer dans un champ « notes ».