L’article 9 du RGPD encadre les données sensibles à l’école

L’article 9 du RGPD interdit en principe le traitement des données sensibles, notamment de santé, biométriques, religieuses ou révélant l’origine ethnique. Une exception précise et des garanties adaptées sont nécessaires.

Une montre qui suit le sommeil d’un élève ou une plateforme recueillant un aménagement médical révèlent plus qu’une information de compte. À l’école, l’article 9 impose de qualifier les données, de justifier leur usage et de limiter les accès.

Article 9 du RGPD : que protège-t-il exactement ?

L’article 9 du RGPD pose une interdiction de principe pour les données révélant des informations particulièrement sensibles. Le traitement couvre la collecte, le stockage, la consultation, la transmission, la modification et la suppression.

Un nom, une adresse électronique ou un identifiant élève ne relèvent pas automatiquement de l’article 9. Une donnée devient sensible lorsqu’elle révèle, directement ou par recoupement, un état de santé, une conviction ou une caractéristique protégée.

L’article 9 s’ajoute aux principes de l’article 5 : finalité, minimisation, transparence, exactitude, sécurité et conservation limitée. Une base légale au titre de l’article 6 reste nécessaire. L’intérêt technique d’une application ne suffit pas.

Quelles données sont des catégories particulières ?

L’article 9 vise les données pouvant exposer une personne à une discrimination. Dans l’éducation, il faut examiner ce qu’une information permet de déduire, pas seulement son intitulé.

• L’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques et l’appartenance syndicale.
• Les données génétiques, les données biométriques utilisées pour identifier une personne et les données concernant la santé.
• Les informations relatives à la vie sexuelle ou à l’orientation sexuelle.

Un aménagement fondé sur une situation de santé, un régime médical ou un questionnaire révélant une religion peuvent relever de cette protection. Une empreinte ou un visage sont des données biométriques sensibles s’ils identifient l’élève. Un prénom ou une photographie ne le sont pas par eux-mêmes. Les données relatives aux condamnations pénales relèvent de l’article 10.

Dans quels cas le traitement de données sensibles est-il autorisé ?

Le traitement n’est admis que si une exception de l’article 9, paragraphe 2, s’applique : consentement explicite, obligations en droit du travail ou de la protection sociale, intérêts vitaux, activités d’organismes sans but lucratif, données rendues publiques, défense d’un droit, intérêt public important, santé, recherche ou statistiques avec garanties.

Cette exception ne remplace pas la base légale de l’article 6. L’établissement ou l’éditeur doit justifier la licéité du traitement et la levée de l’interdiction, puis démontrer que la collecte est nécessaire plutôt que simplement pratique.

Le consentement explicite n’est pas automatique à l’école : le refus doit pouvoir être formulé sans conséquence défavorable. Il faut distinguer ce régime de l’article huit du RGPD, consacré au consentement des mineurs pour une offre directe de services en ligne. En France, ce seuil est fixé à 15 ans lorsque le service repose sur le consentement. Cette règle ne fait pas du consentement le fondement systématique d’un traitement scolaire de données sensibles.

Le paragraphe quatre de l’article 9 permet aux États de prévoir des conditions ou limites supplémentaires pour certaines données génétiques, biométriques ou de santé. En France, la loi Informatique et Libertés complète le RGPD pour des traitements et finalités déterminés. Un établissement doit donc vérifier le cadre français applicable, les exigences de la CNIL et les garanties adaptées avant d’invoquer une exception nationale.

École, application et IoT : comment appliquer l'article 9 en pratique ?

Avant de déployer un outil ou un objet connecté, appliquez ce parcours :

1. Qualifiez les données : le badge, le capteur ou le questionnaire révèle-t-il une santé, une biométrie ou une conviction ?
2. Définissez une finalité précise : sécuriser un accès, organiser un accompagnement ou prévenir une situation identifiée ne sont pas interchangeables.
3. Identifiez l’exception de l’article 9 et la base légale de l’article 6, puis consignez ce raisonnement.
4. Limitez les données, les accès et la conservation ; informez élèves, parents et personnels clairement.

Un badge biométrique exige une vigilance renforcée : une solution non biométrique doit être envisagée si elle atteint le même objectif. Un outil de bien-être peut révéler une donnée de santé s’il enregistre symptômes ou alertes. Une plateforme d’accompagnement doit cloisonner les accès selon les fonctions.

Les personnes concernées disposent notamment de droits d’accès, de rectification, d’effacement, de limitation et, selon le fondement, d’opposition. Vérifiez le contrat de chaque sous-traitant conformément à l’article 28. Une AIPD est à prévoir en cas de risque élevé.

Article 9, article 10 et loi Informatique et Libertés : les distinctions utiles

L’article 9 concerne les catégories particulières : santé, biométrie destinée à l’identification, convictions ou informations comparables. L’article 10 vise les données relatives aux condamnations pénales et aux infractions. Ces régimes exigent une forte prudence, sans se confondre.

Une sanction disciplinaire ou un incident scolaire n’est pas automatiquement une donnée pénale. À l’inverse, une information révélant une santé ou un handicap ne doit pas être banalisée. La qualification dépend du contenu, de la finalité et des personnes ayant accès au dossier.

La CNIL accompagne et contrôle l’application de ces règles. Le Comité européen de la protection des données favorise une interprétation cohérente. Ces références aident à documenter un projet, sans remplacer son analyse concrète.

Questions et réponses

Où le RGPD s’applique-t-il ?

Le RGPD s’applique aux organismes traitant des données dans l’Union européenne. Il peut aussi concerner un organisme hors de l’Union qui propose des services à des personnes s’y trouvant ou observe leur comportement. Une école et son prestataire sont donc concernés.

Quels droits le RGPD reconnaît-il aux internautes sur leurs données personnelles ?

Les personnes disposent notamment de droits à l’information, d’accès, de rectification, d’effacement, de limitation et d’opposition selon le contexte. La portabilité peut aussi s’appliquer. L’organisme doit prévoir une procédure claire pour exercer ces droits.

Quel article du RGPD traite des données sensibles ?

L’article 9 encadre les catégories particulières, telles que les données de santé, biométriques ou révélant des convictions. Il pose une interdiction levée seulement par une exception précise. L’article 10 traite séparément des infractions et condamnations pénales.

Quelle est la définition du RGPD ?

Le RGPD est le règlement général sur la protection des données. En anglais, GDPR signifie General Data Protection Regulation. Cette appellation désigne le même texte européen. Il encadre la collecte et l’utilisation des données personnelles, reconnaît des droits aux personnes et impose aux organisations de justifier leurs traitements, d’informer les personnes concernées et de protéger les données qu’elles utilisent.

Quels pays sont concernés par le RGPD ?

Le RGPD s’applique dans les États de l’Union européenne. Il peut aussi viser des organismes établis dans d’autres pays lorsqu’ils ciblent des personnes présentes dans l’Union ou suivent leur comportement. Le lieu d’hébergement ne suffit pas à écarter le règlement.

Qu’est-ce que la CNIL et quel est son rôle dans le RGPD ?

La CNIL est l’autorité française chargée de veiller à la protection des données personnelles. Elle informe, accompagne la conformité, contrôle certains traitements et peut intervenir en cas de manquement. Ses recommandations sont un repère utile pour les établissements scolaires.

Avant d’activer une fonctionnalité, identifiez les données recueillies, ce qu’elles révèlent et l’exception applicable. Documentez la finalité, réduisez la collecte et encadrez les accès.

Révisé le 28 juillet 2026