La liste des données sensibles a été étendue par les données génétiques et biométriques.
Suivant l’article 9 du RGPD, cette liste comprend :
- les données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale,
- les données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle,
- les données génétiques et les données biométriques aux fins d'identifier une personne physique de manière unique.
L’importance du contexte du traitement
En présence de données qui ne sont pas dans tous les cas considérées comme sensibles, comme une photographie, le RGPD propose de prendre en compte le contexte pour déterminer s’il s’agit d’un traitement d’une donnée sensible.
Suivant le considérant 51, il ne faut pas faire systématiquement entrer toute photographie dans la définition d’une donnée sensible, mais seulement si les photographies « sont traitées selon un mode technique spécifique permettant l'identification ou l'authentification unique d'une personne physique ».
Une photographie sur un badge pour accéder à un local devrait être considérée comme une donnée sensible.
Le principe de l’interdiction du traitement d’une donnée sensible
Le principe de l’interdiction est assorti de nombreuses exceptions. Il convient de se référer à l’article 9 (2) du RGPD.