Fiche de révision : Maîtrise des principes clés du RGPD

📋 Plan du Cours

1. Principes des 8 règles d’or
2. Finalité du traitement
3. Licéité du traitement
4. Minimisation des données
5. Protection des données sensibles
6. Conservation limitée des données
7. Obligation de sécurité
8. Droits des personnes
9. Transferts hors UE

📖 1. Principes des 8 règles d’or

🔑 Notions clés & Définitions

• Licéité du traitement : Condition selon laquelle un traitement de données personnelles doit être basé sur une des six conditions légales (ex. consentement, contrat, obligation légale, etc.) pour être considéré comme conforme au RGPD.
• Finalité du traitement : Objectif précis et légitime pour lequel les données sont collectées, exploitées ou conservées. Elle doit être déterminée, explicite et légitime.
• Minimisation des données : Principe selon lequel seules les données strictement nécessaires à la réalisation de la finalité doivent être collectées et traitées.
• Protection particulière des données sensibles : Régime renforcé applicable aux données révélant l’origine raciale, politique, religieuse, santé, biométrique, etc., nécessitant des conditions strictes pour leur traitement.
• Conservation limitée des données : Obligation de ne pas conserver les données au-delà de la durée nécessaire à leur finalité, en les effaçant, anonymisant ou archivants selon le cas.
• Obligation de sécurité : Responsabilité de mettre en œuvre des mesures techniques et organisationnelles pour protéger les données contre la perte, la divulgation ou l’accès non autorisé.

📝 Points essentiels

• La licéité du traitement repose sur une base légale claire (consentement, contrat, obligation légale, etc.).
• La finalité doit être précise, légitime et communiquée aux personnes concernées.
• La minimisation impose une collecte limitée aux données nécessaires, en évitant toute surcharge ou collecte superflue.
• Les données sensibles bénéficient d’un régime spécifique, avec des conditions strictes pour leur traitement.
• La conservation des données doit être limitée dans le temps, en fonction de la finalité, avec des mesures pour leur suppression ou anonymisation.
• La sécurité des données est une obligation fondamentale pour prévenir tout risque de violation ou de fuite.

💡 À retenir

Les 8 règles d’or garantissent la conformité juridique, la transparence et la protection des droits des personnes, en encadrant strictement la collecte, l’utilisation et la conservation des données personnelles.

📖 2. Finalité du traitement

🔑 Notions clés & Définitions

• Finalité : L’objectif précis pour lequel les données personnelles sont collectées, enregistrées, exploitées ou conservées par un organisme. Elle doit être déterminée, explicite et légitime.
• Détermination : La nécessité de définir une finalité claire avant la collecte des données, afin d’éviter toute utilisation non prévue ou détournée.
• Légitimité : La finalité doit respecter la législation en vigueur (RGPD, loi Informatique et Libertés) et être justifiée par un intérêt légitime ou une obligation légale.
• Détournement de finalité : Utilisation des données à d’autres fins que celles initialement prévues, sans consentement ou justification légale, pouvant entraîner des sanctions.
• Finalités compatibles : Possibilité de réutiliser les données pour une nouvelle finalité si celle-ci est compatible avec la finalité initiale, en respectant la transparence et les droits des personnes.
• Point à retenir : La finalité doit être précise, légitime et clairement communiquée pour garantir la conformité et la confiance dans le traitement des données.

📖 3. Licéité du traitement

🔑 Notions clés & Définitions

• Licéité du traitement : Conformité du traitement de données personnelles avec une base légale prévue par le RGPD ou la législation nationale. Il ne doit pas être interdit ou illicite.

• Base légale : Fondement juridique permettant la réalisation d’un traitement de données personnelles. Elle doit être prévue par le RGPD ou une loi nationale.

• Consentement : Manifestation de volonté libre, spécifique, éclairée et univoque de la personne concernée, acceptant le traitement de ses données pour une finalité précise.

• Nécessité : Condition selon laquelle le traitement doit être indispensable à la réalisation d’un objectif légitime, comme l’exécution d’un contrat ou le respect d’une obligation légale.

• Obligation légale : Exigence imposée par une loi ou réglementation, rendant le traitement licite pour respecter cette obligation.

• Intérêts légitimes : Intérêts poursuivis par le responsable de traitement ou un tiers, sous réserve que les droits des personnes soient respectés et qu’un équilibre soit trouvé.

📝 Points essentiels

• Un traitement ne peut être effectué que s’il repose sur l’une des six conditions de licéité : consentement, nécessité contractuelle, obligation légale, sauvegarde des intérêts vitaux, mission d’intérêt public ou intérêts légitimes.

• Le consentement doit être explicite, spécifique et facilement rétractable. Il doit être prouvé par le responsable du traitement.

• La nécessité contractuelle ou légale permet de traiter des données sans consentement, dans le cadre d’obligations ou de relations préexistantes.

• Le traitement basé sur les intérêts légitimes doit respecter un équilibre entre les intérêts du responsable et les droits des personnes.

• Le détournement de finalité ou le traitement illicite expose à des sanctions pénales et administratives.

💡 À retenir

Le traitement de données personnelles doit toujours être fondé sur une base légale claire et légitime, garantissant la conformité au RGPD et la protection des droits des personnes concernées.

📖 4. Minimisation des données

🔑 Notions clés & Définitions

• Minimisation des données : principe selon lequel seules les données strictement nécessaires à la réalisation d’une finalité spécifique doivent être collectées et traitées.
• Pertinence : qualité d’une donnée qui a un lien direct avec la finalité du traitement. Elle doit être justifiée par rapport à l’objectif poursuivi.
• Proportionnalité : principe selon lequel la quantité de données collectées doit être adaptée à l’objectif, évitant toute collecte excessive ou inutile.
• Exactitude des données : obligation de maintenir les données à jour et de corriger ou supprimer celles qui sont inexactes ou obsolètes.
• Données facultatives : données qui peuvent être collectées mais ne sont pas indispensables au traitement, avec information et choix laissé à la personne concernée.
• Pseudonymisation : procédé consistant à remplacer les données d’identification directe par un identifiant artificiel, renforçant la sécurité et la confidentialité.

📝 Points essentiels

• La minimisation découle du principe de finalité, limitant la collecte à ce qui est nécessaire.
• Seules les données pertinentes et indispensables doivent être recueillies, en évitant toute collecte superflue.
• La proportionnalité impose de distinguer entre données obligatoires et facultatives, en informant la personne concernée.
• La mise à jour régulière des données est essentielle pour garantir leur exactitude.
• La minimisation s’applique aussi à la vidéosurveillance, en limitant le nombre de caméras et les zones filmées.
• La pseudonymisation est une pratique recommandée pour renforcer la sécurité des données.

💡 À retenir

Le principe de minimisation impose de ne collecter que les données strictement nécessaires à la finalité, en veillant à leur pertinence, leur exactitude et leur proportionnalité pour respecter la vie privée et garantir la conformité au RGPD.

📖 5. Protection des données sensibles

🔑 Notions clés & Définitions

Données sensibles
Données à caractère personnel qui révèlent des informations sur l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, la santé, la vie sexuelle ou l’orientation sexuelle, ou encore des données génétiques ou biométriques permettant d’identifier une personne de manière unique.
Point essentiel : leur traitement est, en principe, interdit sauf exceptions strictes.

Traitement
Opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés ou non, portant sur des données personnelles, telles que la collecte, l’enregistrement, la conservation, la modification, la transmission ou la suppression.
Point essentiel : le traitement des données sensibles nécessite des conditions particulières.

Consentement explicite
Manifestation claire, spécifique, éclairée, univoque et volontaire de la volonté de la personne concernée, permettant d’autoriser le traitement de ses données sensibles.
Point essentiel : doit être recueilli de manière formelle et facilement révocable.

Exceptions au traitement
Situations où le traitement de données sensibles est autorisé, notamment avec le consentement explicite, pour respecter des obligations légales, protéger des intérêts vitaux, ou dans le cadre de missions d’intérêt public ou de recherche, sous conditions strictes.
Point essentiel : le traitement doit toujours être justifié par une base légale et une exception précise.

Numéro de sécurité sociale (NIR)
Numéro unique attribué à chaque individu en France, contenant des informations telles que sexe, date et lieu de naissance, permettant une identification certaine. Son traitement est strictement encadré en raison de sa sensibilité.
Point essentiel : son utilisation est limitée aux finalités sociales, sanitaires ou administratives.

Données relatives aux condamnations pénales
Informations concernant des infractions, condamnations ou mesures de sûreté, qui ne sont pas considérées comme sensibles mais nécessitent un traitement très encadré pour éviter la constitution de fichiers privés ou abusifs.
Point essentiel : leur traitement est réservé aux autorités judiciaires ou organismes habilités.

📖 6. Conservation limitée des données

🔑 Notions clés & Définitions

Conservation limitée
Principe selon lequel les données personnelles ne doivent pas être conservées au-delà de la durée nécessaire à la réalisation de la finalité pour laquelle elles ont été collectées.
Point essentiel : La durée de conservation doit être déterminée à l’avance ou basée sur un critère objectif, et les données doivent être effacées, anonymisées ou archivées une fois la finalité atteinte.

Droit à l’oubli
Droit permettant à une personne de demander la suppression de ses données personnelles lorsque leur conservation n’est plus justifiée ou qu’elle souhaite en faire effacer ses traces.
Point essentiel : La conservation limitée soutient le droit à l’oubli en empêchant la rétention indéfinie des données.

Effacement des données
Suppression définitive des données personnelles lorsque leur conservation n’est plus justifiée ou à la demande de la personne concernée.
Point essentiel : L’effacement doit être réalisé rapidement après l’atteinte de la finalité ou la demande de suppression.

Anonymisation
Processus par lequel les données sont modifiées de façon à ce qu’une personne ne puisse plus être identifiée, directement ou indirectement.
Point essentiel : L’anonymisation permet de conserver des données sans violer le principe de conservation limitée.

Archivage
Conservation des données dans un but de conservation à long terme, sous conditions strictes, lorsque leur usage n’est plus nécessaire mais qu’elles doivent être conservées pour des raisons légales ou historiques.
Point essentiel : L’archivage doit respecter des règles spécifiques pour garantir la sécurité et la confidentialité des données.

Point à retenir

La conservation limitée impose de ne garder les données personnelles que pour la durée strictement nécessaire, en assurant leur suppression, anonymisation ou archivage dès que la finalité est atteinte.

📖 7. Obligation de sécurité

🔑 Notions clés & Définitions

• Obligation de sécurité : Responsabilité légale imposant aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles pour protéger les données personnelles contre les risques tels que la perte, la divulgation non autorisée ou l'accès illicite.

• Mesures techniques : Solutions technologiques visant à garantir la sécurité des données, comme le chiffrement, la pseudonymisation, ou la gestion des accès.

• Mesures organisationnelles : Procédures et politiques internes, telles que la formation du personnel, la gestion des droits d’accès, ou la mise en place de plans de réponse en cas de violation de données.

• Risques : Probabilités d’incidents pouvant compromettre la confidentialité, l’intégrité ou la disponibilité des données personnelles.

• Confidentialité : Garantie que seules les personnes autorisées ont accès aux données, empêchant toute divulgation non autorisée.

• Point à retenir : L’obligation de sécurité est une exigence fondamentale du RGPD, visant à assurer la protection continue des données personnelles tout au long de leur traitement.

📖 8. Droits des personnes

🔑 Notions clés & Définitions

• Droit d’accès : Permet à une personne de demander la communication des données personnelles la concernant détenues par un organisme, ainsi que des informations sur leur traitement.
• Droit de rectification : Permet à une personne de demander la correction ou la mise à jour de ses données personnelles inexactes ou incomplètes.
• Droit à l’effacement (droit à l’oubli) : Autorise une personne à demander la suppression de ses données lorsque leur traitement n’est plus justifié ou en cas de retrait du consentement.
• Droit à la limitation du traitement : Permet à une personne de demander de suspendre temporairement le traitement de ses données, notamment en cas de contestation de leur exactitude ou de licéité.
• Droit d’opposition : Donne à une personne la possibilité de s’opposer, pour des motifs légitimes, au traitement de ses données, notamment à des fins de marketing ou de profilage.
• Droit à la portabilité : Permet à une personne de recevoir ses données dans un format structuré, couramment utilisé, et de les transmettre à un autre responsable de traitement.

📝 Points essentiels

• Ces droits doivent être exercés par la personne concernée via une demande claire et gratuite, sauf cas de demandes abusives.
• Le responsable du traitement doit répondre dans un délai d’un mois, renouvelable en cas de complexité.
• La mise en œuvre de ces droits implique souvent la vérification de l’identité de la demandeuse ou du demandeur.
• La non-respect de ces droits peut entraîner des sanctions administratives ou pénales.
• La transparence et l’information préalable sont essentielles pour que les personnes connaissent leurs droits et puissent les exercer facilement.

💡 À retenir

Les droits des personnes garantissent leur contrôle sur leurs données personnelles, renforçant ainsi la transparence, la confiance et la conformité au RGPD. Leur exercice doit être facilité et respecté par tout organisme traitant des données.

📖 9. Transferts hors UE

🔑 Notions clés & Définitions

📝 Points essentiels

• Les transferts hors UE doivent respecter le RGPD, notamment via une décision d’adéquation ou des garanties appropriées.
• En l’absence de décision d’adéquation, le responsable doit mettre en place des garanties telles que clauses contractuelles types ou règles d’entreprise contraignantes.
• Certaines exceptions permettent des transferts sans garanties, comme le consentement explicite de la personne ou des situations d’urgence.
• La législation impose un contrôle strict pour éviter toute atteinte aux droits et libertés des personnes concernées lors de transferts internationaux.
• La conformité doit être documentée et justifiée pour éviter des sanctions administratives ou pénales.

💡 À retenir

Les transferts de données hors UE sont encadrés pour garantir un niveau de protection équivalent à celui de l’UE, via des mécanismes légaux précis, afin de préserver la confidentialité et les droits des personnes.

📊 Tableaux de Synthèse

⚠️ Pièges & Confusions Fréquentes

1. Confondre licéité du traitement et finalité : la licéité dépend de la base légale, la finalité de l’objectif précis.
2. Détourner la finalité initiale sans justification légale ou consentement.
3. Oublier que le consentement doit être explicite, spécifique et facilement rétractable.
4. Collecter plus de données que nécessaire (violation du principe de minimisation).
5. Négliger la sécurité des données, ce qui peut entraîner des sanctions.
6. Confondre données sensibles et données personnelles classiques : ces dernières nécessitent un régime renforcé.
7. Ignorer la limitation dans le temps de conservation, conservant des données indéfiniment.
8. Transférer des données hors UE sans respecter les conditions légales.
9. Omettre d’informer les personnes de leurs droits ou de leur finalité.
10. Utiliser des faux-amis ou expressions ambiguës dans la législation (ex. "données anonymisées" vs "pseudonymisées").

✅ Checklist Examen

1. Vérifier que la collecte de données repose sur une base légale claire (consentement, contrat, obligation légale, intérêt légitime, etc.).
2. S’assurer que la finalité du traitement est précise, légitime et communiquée aux personnes concernées.
3. Confirmer que seules les données nécessaires et pertinentes sont collectées (principe de minimisation).
4. Vérifier la conformité des mesures de sécurité mises en place pour protéger les données.
5. Contrôler que la durée de conservation des données est limitée à ce qui est nécessaire.
6. Vérifier que le traitement des données sensibles respecte les conditions renforcées.
7. S’assurer que les droits des personnes (accès, rectification, suppression, opposition) sont respectés et facilités.
8. Vérifier que tout transfert de données hors UE respecte les conditions légales.
9. S’assurer que les personnes sont informées de leurs droits et de la finalité du traitement.
10. Vérifier que la pseudonymisation ou anonymisation est appliquée lorsque cela est pertinent.
11. Confirmer que le traitement ne détourne pas la finalité initiale sans justification.
12. Vérifier la documentation et la preuve de la conformité (registre, consentements, contrats).