Votre corps n'est pas un dossier médical : ce que la CJUE vient de changer

Un arrêt qui fait souffler les sportifs (et les marketeurs)

Imaginez : vous êtes contrôlé positif à un test antidopage, et votre nom est publié dans la presse. Est-ce une violation de vos données de santé ? Pas forcément, selon la Cour de justice de l'Union européenne (CJUE) dans son arrêt C-474/24. La Cour a jugé que la publication d'une sanction antidopage ne constitue une donnée de santé que si elle révèle un état pathologique ou un suivi médical. Sinon, ce n'est qu'une donnée personnelle banale. Un soulagement pour les sportifs, mais un casse-tête pour les juristes.

Le contexte : une affaire belge aux airs de Tour de France

L'affaire opposait un sportif belge à une fédération sportive. Le sportif avait été sanctionné pour dopage, et la fédération avait publié son nom. Il a saisi la justice, arguant que cette publication violait le RGPD car elle révélait une donnée de santé. La CJUE a dit non : pour qu'une donnée soit de santé, il faut qu'elle soit utilisée dans un contexte médical ou qu'elle révèle un état de santé. Or, une sanction antidopage ne dit rien sur la santé de l'athlète, seulement sur son comportement.

Featured Snippet Bait : quand une donnée corporelle devient-elle une donnée de santé ?

Selon la CJUE, une donnée corporelle n'est une donnée de santé que si elle est utilisée dans un cadre médical ou si elle révèle un état pathologique. Par exemple, un test de grossesse positif est une donnée de santé, mais un test antidopage positif ne l'est pas, car il ne dit rien sur la santé de la personne.

Les implications pour la e-santé et le e-commerce

Cet arrêt a des répercussions bien au-delà du sport. Dans la e-santé, les applications de fitness collectent des données corporelles (pouls, calories brûlées). Sont-elles des données de santé ? Pas toujours. Si l'application ne fait que compter des pas, ce n'est pas de la santé. Mais si elle analyse le sommeil ou le stress, ça peut le devenir. Le contexte est clé.

Pour le e-commerce, les marketeurs adorent les données corporelles : taille, poids, pointure. Mais attention : si vous utilisez ces données pour déduire un état de santé (par exemple, proposer des vêtements pour personnes obèses), vous entrez dans le champ des données sensibles. La CJUE rappelle que l'inference compte : une donnée anodine peut devenir sensible selon l'usage.

Trois leçons pratiques pour les DPO

• Contextualisez : ne qualifiez pas automatiquement une donnée corporelle de santé. Demandez-vous : est-elle utilisée pour un diagnostic ou un suivi médical ?
• Documentez vos inferences : si vous déduisez un état de santé à partir de données banales, vous devez respecter le RGPD comme pour des données sensibles.
• Formez vos équipes : les marketeurs et les développeurs doivent comprendre que le contexte change la qualification. Un simple champ "poids" dans un formulaire peut devenir une donnée de santé si l'objectif est de détecter des troubles alimentaires.

FAQ