Donnees de sante sensibles RGPD : pourquoi l’article 9 les classe a part

Pourquoi un dossier patient est-il traité différemment d’un fichier client ordinaire ? La réponse tient dans une qualification juridique précise. Le régime des données de santé sensibles RGPD ne relève pas du droit commun des données personnelles ; il obéit à un article dédié, l’article 9, qui inverse la logique habituelle et conditionne chaque traitement. Comprendre ce mécanisme éclaire la plupart des contraintes qui pèsent ensuite sur les professionnels et leurs prestataires.

Une qualification juridique, pas une simple précaution

Le terme « sensible » n’a rien d’informel dans le règlement européen, applicable en Nouvelle-Calédonie. Il désigne une liste fermée de catégories, énumérées à l’article 9 : origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques, données biométriques, orientation sexuelle et, parmi elles, les données concernant la santé. Ce regroupement n’est pas arbitraire. Toutes ces informations partagent un trait : leur divulgation peut entraîner une discrimination, une stigmatisation ou un préjudice durable pour la personne. La santé occupe une place à part dans cet ensemble, car elle touche à l’intimité du corps, à des pathologies parfois lourdes et à des décisions de vie. Le législateur a donc choisi de la protéger par un régime distinct du droit commun.

L’article 9 : une interdiction de principe assortie d’exceptions

La mécanique de l’article 9 surprend qui la découvre. Son premier paragraphe énonce que le traitement de ces catégories particulières est interdit. Le point de départ est donc la prohibition, et non l’autorisation encadrée que l’on connaît pour les données ordinaires. Le second paragraphe rouvre ensuite la voie, en listant des situations où l’interdiction est levée. Pour le secteur de la santé, plusieurs de ces exceptions sont déterminantes :

• Le consentement explicite de la personne concernée, donné de façon libre, spécifique et éclairée pour un traitement bien identifié.
• La prise en charge médicale : diagnostic, soins, gestion des systèmes de santé, lorsque le traitement est réalisé par un professionnel soumis au secret ou sous sa responsabilité.
• L’intérêt public dans le domaine de la santé publique, sur une base juridique appropriée et avec des garanties adaptées.
• La sauvegarde des intérêts vitaux de la personne, quand elle est hors d’état de consentir.

Hors de ces cas, traiter une donnée de santé reste prohibé. Un cabinet, un laboratoire ou un éditeur de logiciel doit donc toujours rattacher son traitement à l’une de ces portes de sortie, et la documenter. Cette logique d’exception explique la rigueur attendue à chaque étape.

Donnees de sante sensibles RGPD : ce que le classement change concrètement

Identifier une exception ne suffit pas. L’article 9 fonctionne en complément des principes généraux du règlement, qui s’appliquent en plus. Concrètement, un traitement de données de santé doit réunir deux conditions cumulatives. D’abord, une base légale au titre de l’article 6 (souvent le consentement, l’obligation légale ou la mission d’intérêt public). Ensuite, une exception au titre de l’article 9 qui lève l’interdiction. Les deux niveaux se superposent ; l’un ne dispense jamais de l’autre. Cette double condition est la première conséquence pratique du caractère sensible.

Vient ensuite l’exigence d’une protection renforcée. Parce que le risque pour la personne est élevé, les mesures de sécurité doivent l’être aussi : chiffrement, contrôle strict des accès, journalisation, minimisation des données collectées. Ces obligations sont détaillées dans nos repères sur la sécurité des données de santé. La qualification de donnée sensible élève le niveau attendu, sans jamais le plafonner.

Une analyse d’impact souvent obligatoire

Le traitement à grande échelle de données sensibles déclenche fréquemment une obligation supplémentaire : l’analyse d’impact relative à la protection des données. Cet exercice consiste à décrire le traitement, à évaluer les risques pour les personnes concernées et à définir les mesures destinées à les réduire. Un établissement qui déploie un nouveau système d’information patient, un laboratoire qui centralise des résultats d’examens, un éditeur qui héberge des dossiers pour plusieurs cabinets entrent typiquement dans ce périmètre. L’analyse d’impact n’est pas une formalité administrative ; elle force à anticiper les failles avant la mise en service, ce qui en fait un outil de conception autant que de conformité.

Le sous-traitant : un maillon encadré par écrit

Rares sont les structures de santé qui traitent leurs données sans recourir à un prestataire. Éditeur de logiciel, hébergeur, infogéreur : chacun devient sous-traitant au sens du règlement dès qu’il intervient sur des données pour le compte du responsable de traitement. L’article 28 impose alors un contrat écrit qui fixe l’objet, la durée, les finalités, les obligations de sécurité et le sort des données en fin de prestation. Ce contrat n’est pas négociable : son absence engage la responsabilité des deux parties. Le caractère sensible des données rend cette formalisation d’autant plus indispensable, car le moindre accès non maîtrisé peut révéler des informations protégées. Les exigences propres au cadre calédonien sont précisées dans notre dossier sur le RGPD appliqué aux données de santé en Nouvelle-Calédonie.

En cas de violation : une réaction encadrée dans le temps

Le classement en catégorie particulière pèse aussi sur la gestion des incidents. Lorsqu’une violation de données survient (perte, vol, accès illégitime, divulgation), l’article 33 prévoit en principe une notification à l’autorité compétente dans un délai de soixante-douze heures après en avoir pris connaissance. Quand la violation est susceptible d’engendrer un risque élevé pour les personnes, ce qui est fréquent avec des données de santé, celles-ci doivent en outre être informées. La sensibilité des données augmente la probabilité qu’un incident atteigne ce seuil de risque élevé. Préparer en amont une procédure de détection et de réponse devient alors un réflexe de gestion, pas une option.

Le lien avec l’hébergement agréé en Nouvelle-Calédonie

Le régime de l’article 9 fixe le « pourquoi » de la protection ; le cadre local en tire une conséquence opérationnelle. En Nouvelle-Calédonie, confier des données de santé à un tiers suppose un agrément du gouvernement, prévu par la loi du pays n° 2026-5. Cet agrément est un dispositif calédonien, distinct des mécanismes métropolitains de certification. La logique reste cohérente avec le règlement européen : puisque ces données sont sensibles, leur hébergement par un prestataire exige des garanties de sécurité, de disponibilité et de traçabilité contrôlées par l’autorité locale. Le caractère sensible justifie l’encadrement ; l’agrément le matérialise sur le terrain calédonien.

Sources : CNIL — la santé · Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5.