Protection des données sensibles : ce que dit la loi

Les fichiers clients des entreprises contiennent de nombreuses données personnelles (sexe, âge, adresse postale…). Pour éviter les  abus, la loi protège les données dites « sensibles ». De quoi s’agit-il exactement ?  A-t-on le droit de les collecter ? De les conserver ?

Donnée sensible : qu’est-ce-que c’est ? 

Noms, adresses, sexes sont des données que l’on retrouve dans la plupart des fichiers clients des entreprises.  Ces données sont considérées comme des données personnelles anodines.

D’autres données, comme les opinions politiques ou religieuses  ou les tendances sexuelles, sont beaucoup plus personnelles.  Ces données sont dites sensibles.

La loi informatique et liberté définit les données sensibles comme étant les données personnelles qui font apparaître directement ou indirectement :

• les origines raciales ou ethniques,
• les opinions politiques, philosophiques ou religieuses,
• l’appartenance syndicale des personnes,
• ou qui sont relatives à la santé et à la vie sexuelle des individus.

Les fichiers clients peuvent-ils comporter des données sensibles ?

La loi interdit purement et simplement la collecte et le traitement des données sensibles : les fichiers clients doivent donc se limiter aux données géographiques, démographiques et socio-démographiques. La législation a néanmoins prévu quelques exceptions en ce qui concerne le traitement des données sensibles. Elles peuvent en effet être recueillies dans certains cas : les données doivent alors être adéquates, proportionnées, et pertinentes au regard des finalités pour lesquelles elles sont collectées. 

Par exemple, une  entreprise du secteur dermatologique a le droit de traiter des données relatives aux origines raciales et ethniques pour la fabrication et la distribution de ses produits puisque son activité le justifie.

La Cnil veille aussi scrupuleusement à la protection de la vie privée. La Commission Nationale de l’Informatique et des Libertés rappelle les conditions qui doivent prévaloir au traitement des données personnelles.  Quels que soient les motifs qui justifient la collecte des données (recrutement, gestion du personnel, gestion du fichier client , etc.),  les entreprises doivent  traiter les données personnelles de manière loyale, licite et non frauduleuse pour des finalités déterminées, explicites et légitimes.