Article 9 AVG

L'article 9 du RGPD régit le traitement des données à caractère personnel particulières dans le cadre de la législation européenne sur la protection de la vie privée. Ces données sont particulièrement sensibles et ne peuvent être collectées et utilisées que dans des conditions strictes. Il s'agit notamment des données relatives à la santé, aux convictions religieuses, des données biométriques et des informations sur l'orientation sexuelle d'une personne. Pour les chefs de PME travaillant dans les domaines des ressources humaines, des soins de santé ou des adhésions, cet article précise quelles informations vous êtes autorisés à enregistrer et celles que vous ne pouvez pas enregistrer.

Quelles données relèvent de l’article 9 du RGPD ?

L’article mentionne explicitement neuf catégories de données à caractère personnel sensibles. L’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ainsi que l’appartenance à un syndicat en font partie. Les données génétiques, les données biométriques permettant d’identifier une personne de manière unique, les données relatives à la santé et celles concernant le comportement ou l’orientation sexuels d’une personne en font également partie. Cette liste est exhaustive, ce qui signifie que les autres données ne relèvent pas de cet article. Dans la pratique, on constate souvent une confusion chez les employeurs qui pensent que toutes les données relatives au personnel sont sensibles. Ce n’est pas le cas : un numéro de compte bancaire ou un numéro de téléphone relève des règles générales du RGPD, et non de l’article 9. La limite réside dans le caractère sensible des données : celles-ci peuvent-elles entraîner une discrimination ou une stigmatisation ? Si tel est le cas, il y a de fortes chances qu’elles relèvent de l’article 9.

Dans quels cas pouvez-vous traiter des données à caractère personnel sensibles ?

La règle générale est simple : le traitement de ces données est interdit. L’article 9 prévoit toutefois dix exceptions qui autorisent tout de même ce traitement. Les plus importantes pour les PME sont les suivantes : le consentement explicite de la personne concernée, la nécessité liée au droit du travail (par exemple, l’enregistrement des arrêts maladie) ou une obligation légale. Vous pouvez également utiliser, sous certaines conditions, les données que la personne concernée a elle-même rendues publiques. Attention : le consentement seul ne suffit souvent pas. Vous devez être en mesure de démontrer que le traitement est nécessaire et proportionné. Une salle de sport qui demande des informations sur les convictions religieuses afin d’établir un programme d’entraînement ne peut pas justifier cette nécessité. En revanche, un établissement de santé qui consigne la prise de médicaments dans le cadre d’un plan de traitement le peut. L’Autorité néerlandaise de protection des données publie régulièrement des exemples de traitements autorisés et interdits.

Comment l’article 9 du RGPD influence le fonctionnement de l’entreprise

Pour les entreprises ayant du personnel ou des clients, cet article implique des choix concrets en matière de systèmes et de processus. Un système RH qui enregistre automatiquement les arrêts maladie doit être sécurisé sur les plans technique et organisationnel, conformément aux exigences du RGPD. Pensez notamment aux restrictions d’accès, au chiffrement et aux journaux d’accès qui consignent qui a eu accès aux données et à quel moment. Lors du développement d’un site internet ou d’ une application web, vous devez tenir compte de ces restrictions dès la phase de conception. Ne stockez pas de données inutiles, limitez l’accès aux seuls collaborateurs qui en ont besoin et documentez les raisons pour lesquelles vous collectez certaines données. Dans le cadre de nos missions auprès de clients PME, nous constatons que c’est surtout la combinaison d’une boutique en ligne et d’un portail client qui présente des risques : l’historique des commandes de compléments alimentaires ou de médicaments peut déjà impliquer des données de santé, même si vous ne les demandez pas explicitement.

Dans la pratique, l’article 9 du RGPD s’applique dès que vous traitez des informations sensibles. Cela peut aller d’un formulaire d’admission en ligne pour un kinésithérapeute à des dossiers du personnel contenant des données de santé. Pour de nombreux chefs de PME, il n’est pas toujours évident de savoir quand ces règles plus strictes s’appliquent. Vous trouverez ci-dessous des situations concrètes dans lesquelles vous êtes amené à traiter des données à caractère personnel particulières, ainsi que la base juridique dont vous avez alors besoin.

Données de santé dans les formulaires d’inscription et de contact

Un kinésithérapeute, un dentiste ou un psychologue recueille souvent, via un site internet, des informations de santé dans un formulaire d’admission. Il s’agit notamment des symptômes, de la prise de médicaments ou des traitements antérieurs. Dès que vous enregistrez ces données, vous traitez des données à caractère personnel sensibles. Vous devez alors disposer d’un consentement explicite ou vous fonder sur l’exception relative à la recherche ou aux traitements médicaux. Concrètement, cela signifie que vous devez ajouter une case à cocher distincte dans laquelle le patient donne son consentement au traitement des données de santé, indépendamment des conditions générales. Vous devez également démontrer que les données sont stockées de manière sécurisée, par exemple via un certificat SSL et une base de données cryptée. De nombreuses agences de conception web oublient cette étape, ce qui fait que le site internet n’est pas conforme au RGPD dès son lancement.

Dossiers du personnel comportant des catégories particulières

En tant qu’employeur, vous collectez parfois des données relatives à l’appartenance syndicale, à la religion ou à la santé de vos salariés. Pensez notamment à l’absentéisme pour cause de maladie, aux parcours de réinsertion ou aux demandes de congé pour fêtes religieuses. Ces données relèvent de l’article 9 du RGPD et ne peuvent être traitées que s’il existe une obligation légale, telle que la loi néerlandaise sur l’amélioration de la gestion des arrêts maladie (« Wet verbetering poortwachter »), ou si le salarié a donné son consentement explicite. Dans un système de gestion du personnel, vous devez donc définir des droits d’accès distincts afin que seuls les collaborateurs des RH puissent accéder à ces données. Une erreur courante consiste à accorder par défaut aux responsables hiérarchiques l’accès à l’intégralité des dossiers du personnel, y compris aux informations médicales. Cela n’est pas autorisé sans nécessité avérée et sans consentement. Une application web sur mesure dédiée aux RH permet de définir ces droits de manière plus granulaire.

Inscription des membres auprès d’associations et de fondations

Un club sportif, une confession religieuse ou un parti politique traite souvent des données relatives à la religion, aux convictions ou à la santé de ses membres. Dans un club de football, par exemple, on enregistre les blessures ou les limitations médicales. Dans une organisation religieuse, on enregistre par définition les convictions religieuses. L’article 9 du RGPD prévoit ici une exception : les associations à vocation philosophique ou politique peuvent traiter ces données sans consentement explicite, à condition qu’il s’agisse de leurs propres membres et que les données ne soient pas divulguées à l’extérieur. Toutefois, en tant qu’association, vous devez tenir un registre des activités de traitement et sécuriser les données. Un système de gestion des adhésions fonctionnant sur une feuille Excel partagée dans Dropbox ne répond pas aux exigences de sécurité. Optez pour un système de gestion des adhésions doté d’un accès basé sur les rôles et d’une journalisation des activités, ou mettez en place un CRM conforme au RGPD.

Quand l'article 9 AVG est le bon choix et quand il ne l'est pas

Vous devez vous référer à l’article 9 du RGPD dès que vous traitez des données relevant des neuf catégories particulières. Pensez par exemple à un questionnaire en ligne dans lequel vous posez des questions sur l’origine ethnique, la santé ou l’orientation sexuelle. Si vous pouvez éviter cette question, faites-le. Demandez par exemple uniquement des informations sur les limitations fonctionnelles pertinentes plutôt qu’un dossier médical complet. Si vous avez réellement besoin de ces données, veillez à obtenir un consentement explicite et à disposer d’une base juridique claire. L’article 9 du RGPD ne s’applique pas aux coordonnées générales, à l’historique des achats ou au comportement de navigation. Pour ces données, les règles standard du RGPD suffisent. Vous vous demandez si une donnée est sensible ? Consultez alors les explications de l’Autorité néerlandaise de protection des données.