Données sensibles
Les données sensibles sont les données personnelles que les lois sur la vie privée protègent le plus strictement, comme la santé, l’origine raciale ou ethnique, la religion, l’orientation sexuelle, la biométrie et la génétique, parce que leur mauvais usage peut entraîner une discrimination ou un préjudice grave.L’article 9, paragraphe 1 du RGPD les appelle catégories particulières et interdit le traitement des données personnelles qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne. L’article 9, paragraphe 2 liste les exceptions, dont la première est le consentement explicite.
La liste californienne, les « sensitive personal information » de la section 1798.140(ae) du Code civil californien, est plus large. Elle ajoute les identifiants officiels comme les numéros de sécurité sociale et de passeport, les identifiants de connexion à un compte ou les numéros de carte avec leurs codes d’accès, la géolocalisation précise, la citoyenneté ou le statut migratoire, le contenu du courrier, des e-mails et des SMS, et les données neuronales. Les consommateurs peuvent en limiter l’utilisation au titre de la section 1798.121, par un lien intitulé « Limit the Use of My Sensitive Personal Information ».
Les sites web atteignent cette catégorie sans le vouloir. La Cour de justice de l’Union européenne a jugé dans l’arrêt Meta Platforms contre Bundeskartellamt (C-252/21, 4 juillet 2023) que des données collectées sur la consultation de sites web ou d’applications peuvent relever de l’article 9 lorsqu’elles révèlent de telles informations. Un pixel sur la page de prise de rendez-vous d’une clinique ou sur les pages produits d’une pharmacie en est l’exemple habituel, et il appelle une prudence particulière avant d’y autoriser des cookies marketing.