QCM : Droit du numérique et RGPD — 39 questions

Explication

Une donnée à caractère personnel se rapporte à une personne physique identifiable directement ou indirectement. Une information financière ou commerciale n’entre dans cette catégorie que si elle permet aussi d’identifier une personne physique.

Explication

Un traitement désigne toute opération, ou tout ensemble d’opérations, appliquée à des données personnelles, indépendamment du procédé employé. Il ne se limite donc ni à la collecte administrative ni aux transferts internationaux.

Explication

La loi française « Informatique et libertés » a été adoptée en 1978 afin d’encadrer les données personnelles. L’année 2004 correspond à une autre étape législative, mais ne constitue pas l’année d’adoption initiale de cette loi.

Explication

Le RGPD a été publié en 2016 pour harmoniser la réglementation européenne relative aux données personnelles. Cette harmonisation ne consiste pas à imposer des solutions techniques identiques à toutes les organisations.

Explication

Le RGPD est entré en application dans l’ensemble de l’Union européenne le 25 mai 2018. Le 20 juin 2018 correspond à la promulgation de la loi française adaptant le RGPD, et non à son entrée en application européenne.

Explication

Le RGPD repose sur une approche fondée sur la gestion des risques, ce qui permet d’adapter les mesures de protection aux situations rencontrées. Cette logique se distingue d’une réglementation imposant une solution technique entièrement uniforme.

Explication

Une organisation publique ou privée établie dans l’Union européenne qui traite des données personnelles relève du RGPD, même si elle exporte ses produits hors de l’Union. Le lieu d’exportation des produits ne supprime donc pas le critère lié à son établissement européen.

Explication

Une organisation située hors de l’Union européenne est soumise au RGPD lorsqu’elle cible directement des résidents européens. La localisation d’un fournisseur, d’un logiciel ou d’un centre informatique ne suffit pas, à elle seule, à établir ce ciblage.

Explication

Les sous-traitants qui traitent des données pour le compte d’autres organismes ont eux aussi des obligations spécifiques de protection. Le responsable du traitement détermine les finalités et les moyens, tandis que le sous-traitant agit dans le cadre de la mission qui lui est confiée.

Explication

En France, le consentement personnel d’un mineur au traitement de ses données est possible à partir de 15 ans. L’âge de 16 ans correspond à un autre seuil couramment retenu dans certains cadres européens, mais il ne correspond pas à la règle française indiquée ici.

Explication

L’information préalable doit notamment identifier le responsable et préciser la finalité du traitement, ainsi que d’autres éléments comme le caractère obligatoire des réponses et les droits de la personne. Le montant d’un bénéfice commercial ne fait pas partie des informations exigées.

Explication

Le délai ordinaire du droit d’accès est d’un mois et la copie doit être fournie gratuitement. Une demande complexe peut prolonger ce délai de deux mois, mais cette prolongation ne remplace pas le délai ordinaire.

Explication

Le droit de rectification impose de corriger les données inexactes, de prouver la modification et d’en envoyer une copie. La destruction du dossier n’est pas la conséquence normale d’une simple rectification.

Explication

Le droit à l’effacement vise la suppression complète et permanente des données chez le responsable et ses sous-traitants. L’oubli numérique correspond souvent à un déréférencement, qui rend l’information moins accessible sans supprimer nécessairement la donnée.

Explication

L’effacement peut être refusé lorsqu’une obligation légale impose de conserver les données, parmi plusieurs exceptions prévues. Une donnée inexacte relève plutôt du droit de rectification, qui permet d’en demander la correction.

Explication

En matière de prospection commerciale, le droit d’opposition est absolu et peut être exercé sans justification, ce qui oblige le responsable à cesser immédiatement cette utilisation. Une preuve de préjudice ou une autorisation administrative n’est pas requise.

Explication

La portabilité permet de récupérer les données fournies ou générées par l’activité de la personne dans une forme réutilisable et de les transmettre à un tiers. Elle ne couvre pas les données dérivées et ne constitue pas une demande d’effacement.

Explication

La limitation consiste à suspendre temporairement l’utilisation des données personnelles, sans les supprimer. La suppression définitive relève du droit à l’effacement, qui produit un effet différent.

Explication

La limitation peut être demandée pendant la vérification de données contestées, notamment afin de suspendre leur utilisation durant cet examen. Elle ne remplace pas une demande d’indemnisation et n’est pas déclenchée par toute consultation ordinaire.

Explication

Le profilage consiste à utiliser les données personnelles pour analyser et prédire le comportement d’une personne, parfois entièrement à l’aide d’algorithmes. La correction manuelle d’un formulaire relève de la rectification, et non du profilage.

Explication

Toute personne dispose en principe du droit de ne pas faire l’objet d’une décision entièrement automatisée ayant un effet juridique ou une incidence significative. Certaines exceptions existent, notamment en cas de consentement explicite, de nécessité contractuelle ou de base légale spécifique.

Explication

Le privacy by design intègre la protection de la vie privée dès la conception du produit ou du service. Une correction effectuée après le développement relève d’une intervention a posteriori, et non de cette démarche préventive.

Explication

Le privacy by default signifie que les mesures de protection s’appliquent automatiquement dans la configuration initiale. Une activation manuelle par l’utilisateur correspond à une protection qui n’est pas réellement appliquée par défaut.

Explication

La collecte doit être loyale et licite, liée à des finalités déterminées, explicites et légitimes, tout en respectant la minimisation. Accumuler des données pour des usages ultérieurs non définis ne respecte pas cette exigence.

Explication

Le registre décrit notamment les données traitées, leurs finalités, les destinataires, les sous-traitants, la durée de conservation et les mesures de sécurité. Les campagnes commerciales et les profils clients ne constituent pas le contenu réglementaire essentiel de ce registre.

Explication

La CNIL est une autorité administrative indépendante chargée de protéger la vie privée et les libertés et de garantir le respect du RGPD. Le conseil interne à un organisme relève plutôt du rôle du DPO.

Explication

La CNIL peut formuler des recommandations, traiter des plaintes, mettre en demeure, contrôler les locaux et documents, puis prononcer des sanctions. Les autres séquences attribuent à la CNIL des pouvoirs ou des étapes qui ne correspondent pas à ce processus.

Explication

Pour les manquements les plus graves, l’amende peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Le plafond de 10 millions d’euros ou 2 % correspond au niveau ordinaire prévu par la règle présentée.

Explication

La désignation d’un DPO est obligatoire lorsque le responsable ou le sous-traitant réalise un suivi régulier et systématique des personnes à grande échelle. La simple utilisation d’un logiciel ou la conservation de factures ne suffit pas à caractériser cette situation.

Explication

L’entreprise doit limiter la collecte aux données nécessaires, informer les clients, faciliter l’exercice de leurs droits et supprimer les données après trois ans d’inactivité, sauf obligation légale. Une conservation prolongée sans justification contredit cette règle de limitation.

Explication

Le partage ou la location des coordonnées électroniques à des partenaires commerciaux nécessite le consentement des clients, dont la preuve doit être conservée. Une simple information ou l’accord du partenaire ne remplace pas ce consentement.

Explication

Sur un site marchand, les données doivent être justifiées par le service rendu, sécurisées pendant le parcours client, expliquées aux clients et accessibles pour l’exercice de leurs droits. La collecte de données supplémentaires sans nécessité ne respecte pas le principe de justification par le service.

Explication

Un cookie de panier peut être nécessaire au fonctionnement du service, alors qu’un traceur publicitaire nécessite le consentement avant son dépôt ou sa lecture. Leur finalité respective détermine donc les conditions applicables.

Explication

La directive NIS2 a été adoptée en 2022 afin d’harmoniser et de renforcer la cybersécurité des infrastructures critiques en Europe. L’année 2024 correspond plutôt à l’échéance prévue pour sa transposition en droit français.

Explication

La France aurait dû transposer NIS2 avant le 17 octobre 2024, mais cette transposition n’était pas encore réalisée au moment du cours. L’échéance européenne ne signifie donc pas que la transposition française avait effectivement eu lieu.

Explication

NIS2 intègre automatiquement les collectivités territoriales dépassant 30 000 habitants parmi les secteurs hautement critiques. Une collectivité de 20 000 habitants ne franchit pas ce seuil, tandis que le cas de 30 000 habitants exactement ne dépasse pas le seuil indiqué.

Explication

NIS2 vise notamment l’énergie, l’eau, la santé et les transports, et impose des mesures de gestion des risques ainsi que la notification des incidents sous le contrôle de l’ANSSI. La protection du consentement, de l’effacement et de la portabilité relève principalement du RGPD, non de cette directive.

Explication

La protection juridique étudiée porte sur les logiciels, les bases de données et les sites Internet, qui sont des productions immatérielles. Les bâtiments et les machines relèvent d’objets matériels, tandis que les marques et les brevets constituent d’autres catégories de droits de propriété intellectuelle.

Explication

La suite du cours en S6 traite de la protection juridique de ces trois productions immatérielles. La fiscalité, la gestion commerciale et la maintenance technique peuvent concerner ces objets, mais elles ne correspondent pas au domaine annoncé.