Fiche de révision : Principes et règles du RGPD

📋 Plan du Cours

1. Principes fondamentaux RGPD
2. Règles d’or RGPD
3. Finalité du traitement
4. Licéité du traitement
5. Minimisation des données
6. Protection particulière données sensibles
7. Conservation limitée des données
8. Obligation de sécurité
9. Transparence et droits des personnes
10. Encadrement des transferts hors UE

📖 1. Principes fondamentaux RGPD

🔑 Notions clés & Définitions

• Licéité du traitement : Condition selon laquelle un traitement de données personnelles doit être fondé sur une des six bases légales prévues par le RGPD (ex : consentement, contrat, obligation légale, etc.) pour être considéré comme légal.

• Finalité du traitement : Objectif précis et légitime pour lequel les données personnelles sont collectées, exploitées et conservées. Toute utilisation doit être conforme à cette finalité initiale.

• Minimisation des données : Principe selon lequel seules les données strictement nécessaires à la réalisation de la finalité doivent être collectées et traitées, évitant toute collecte superflue.

• Protection particulière des données sensibles : Régime renforcé applicable aux données révélant l’origine raciale, ethnique, opinions politiques, santé, vie sexuelle, etc., dont le traitement est généralement interdit sauf exceptions strictes.

• Conservation limitée des données : Obligation de ne pas conserver les données personnelles au-delà de la durée nécessaire à la finalité, avec obligation de supprimer, anonymiser ou archiver ces données une fois la finalité atteinte.

• Obligation de sécurité : Nécessité pour le responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité des données.

Point à retenir

Les principes fondamentaux du RGPD assurent que la collecte, le traitement et la conservation des données personnelles respectent la légalité, la transparence et la protection des droits des individus.

📖 2. Règles d’or RGPD

🔑 Notions clés & Définitions

• Licéité du traitement : Condition permettant de traiter des données personnelles si au moins une des six bases légales (consentement, contrat, obligation légale, sauvegarde intérêts vitaux, mission d’intérêt public, intérêts légitimes) est remplie.
• Finalité du traitement : Objectif précis et légitime pour lequel les données sont collectées, exploitées et conservées. Elle doit être déterminée, explicite et légitime.
• Minimisation des données : Principe selon lequel seules les données strictement nécessaires à la finalité doivent être collectées, évitant toute collecte superflue ou excessive.
• Données sensibles : Catégories de données à caractère personnel particulièrement protégées (origines raciales, opinions politiques, santé, vie sexuelle, etc.) dont le traitement est en principe interdit sauf exceptions strictes.
• Conservation limitée des données : Obligation de ne pas conserver les données plus longtemps que nécessaire à la réalisation de la finalité, avec possibilité d’effacement, d’anonymisation ou d’archivage.
• Obligation de sécurité : Nécessité de mettre en œuvre des mesures techniques et organisationnelles pour garantir la confidentialité, l’intégrité et la disponibilité des données traitées.

📝 Points essentiels

• Les 8 règles d’or encadrent strictement la collecte, l’utilisation et la conservation des données personnelles, assurant transparence et sécurité juridique.
• La finalité doit être déterminée, explicite et légitime ; tout détournement de finalité constitue une infraction passible de sanctions pénales et administratives.
• La licéité du traitement repose sur une base légale claire, notamment le consentement, la nécessité contractuelle ou légale, ou l’intérêt légitime, sous réserve du respect des droits des personnes.
• La minimisation impose de limiter la collecte aux données indispensables, en évitant les données superflues ou non pertinentes.
• Certaines données, dites sensibles, nécessitent des mesures renforcées et un cadre juridique strict pour leur traitement.
• La conservation doit être limitée dans le temps, en accord avec la finalité, sous peine de sanctions et pour respecter le droit à l’oubli.

💡 À retenir

Les règles d’or du RGPD garantissent la protection des données personnelles en imposant des principes de licéité, de finalité, de minimisation, de sécurité et de limitation dans le temps, afin d’assurer la transparence, la confiance et le respect des droits des individus.

📖 3. Finalité du traitement

🔑 Notions clés & Définitions

• Finalité : Objectif précis et légitime pour lequel les données personnelles sont collectées, exploitées et conservées. Elle doit être déterminée, explicite et conforme à la législation en vigueur.
• Détournement de finalité : Utilisation des données à des fins autres que celles initialement prévues et communiquées à la personne concernée, sans justification légale.
• Finalité compatible : Nouvelle utilisation des données qui reste en lien avec la finalité initiale, sous conditions de garanties et de transparence.
• Consentement : Manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne accepte le traitement de ses données pour une finalité donnée.
• Légalité du traitement : Respect de l’un des six fondements légaux (ex : consentement, contrat, obligation légale, intérêt vital, mission d’intérêt public, intérêts légitimes).
• Définition : La finalité doit être claire, précise, légitime, et communiquée à la personne concernée pour garantir la transparence et la conformité du traitement.

📝 Points essentiels

• La finalité doit être déterminée avant la collecte des données et doit guider toutes les étapes du traitement.
• Elle doit être légitime et légale, en conformité avec la législation (ex : RGPD, loi Informatique et Libertés).
• Tout traitement doit respecter le principe de non-détournement : utiliser les données uniquement pour la finalité initiale ou une finalité compatible.
• La transparence est cruciale : informer clairement les personnes concernées de l’objectif du traitement.
• La finalité influence la durée de conservation, la sécurité, et l’accès aux données.
• Le non-respect de la finalité peut entraîner des sanctions pénales et administratives.

💡 À retenir

La finalité est le pilier central de la protection des données : elle délimite l’usage des données personnelles, garantit leur traitement légitime, et assure la transparence envers les personnes concernées. Tout traitement doit impérativement respecter cette finalité pour être conforme au RGPD.

📖 4. Licéité du traitement

🔑 Notions clés & Définitions

📝 Points essentiels

• Un traitement ne peut être effectué que s'il repose sur une base légale précise, parmi les six conditions du RGPD.
• Le consentement doit être explicite, spécifique et documenté pour être valable.
• La nécessité contractuelle ou légale est souvent invoquée pour justifier le traitement.
• Le traitement doit respecter le principe de proportionnalité, évitant toute utilisation excessive ou non pertinente des données.
• La preuve du respect de la licéité doit être conservée par le responsable du traitement.

💡 À retenir

Le traitement des données personnelles doit impérativement être fondé sur une base légale claire et justifiée, garantissant la conformité au RGPD et la protection des droits des personnes concernées.

📖 5. Minimisation des données

🔑 Notions clés & Définitions

• Minimisation des données : principe selon lequel seules les données strictement nécessaires à la réalisation d’une finalité spécifique doivent être collectées et traitées.
• Pertinence : caractéristique d’une donnée qui doit avoir un lien direct avec la finalité du traitement.
• Proportionnalité : principe selon lequel la quantité de données collectées doit être limitée à ce qui est indispensable, en évitant toute collecte excessive ou inutile.
• Données facultatives : informations que l’organisme peut recueillir mais qui ne sont pas essentielles à la finalité, laissant la possibilité à la personne de choisir de les fournir ou non.
• Pseudonymisation : technique consistant à remplacer des données identifiantes par des identifiants artificiels pour limiter le risque d’identification directe.
• Exactitude des données : obligation de maintenir les données à jour et de corriger ou supprimer celles qui sont inexactes ou obsolètes.

📝 Points essentiels

• La minimisation repose sur la nécessité : seules les données indispensables pour atteindre la finalité doivent être collectées.
• La pertinence exige que chaque donnée ait un lien direct avec l’objectif poursuivi, évitant la collecte d’informations superflues.
• La proportionnalité impose de limiter la quantité de données, notamment dans la vidéosurveillance, en filmant uniquement les zones nécessaires.
• La pseudonymisation et la limitation des données facultatives renforcent la protection des personnes.
• La mise à jour régulière des données garantit leur exactitude, évitant des traitements basés sur des informations périmées.

💡 À retenir

Le principe de minimisation impose de ne collecter que les données strictement nécessaires à la finalité, en veillant à leur pertinence, leur proportionnalité et leur exactitude pour respecter la vie privée et garantir la conformité au RGPD.

📖 6. Protection particulière données sensibles

🔑 Notions clés & Définitions

• Données sensibles : Données à caractère personnel qui révèlent des informations sur l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l’état de santé, la vie sexuelle, ou des données biométriques ou génétiques permettant d’identifier une personne de manière unique. Leur traitement est, en principe, interdit sauf exceptions strictes.

• Consentement explicite : Manifestation claire, libre, spécifique, éclairée et univoque de la volonté de la personne concernée d’accepter le traitement de ses données sensibles. Il doit être donné par un acte positif sans ambiguïté.

• Exceptions au traitement des données sensibles : Situations où le traitement est autorisé, notamment avec le consentement explicite, pour respecter des obligations légales, pour la sauvegarde des intérêts vitaux, dans le cadre de missions d’intérêt public, ou pour des finalités de santé publique ou de recherche scientifique.

• Données relatives aux condamnations pénales et infractions : Données concernant les infractions, condamnations, ou mesures de sûreté, traitées dans un cadre strict, limité aux autorités judiciaires, organismes publics ou défendant des intérêts en justice.

• Numéro de sécurité sociale (NIR) : Identifiant unique attribué à chaque individu, contenant des informations telles que sexe, date et lieu de naissance. Son traitement est strictement encadré en raison de sa sensibilité.

• Protection renforcée : Ensemble de mesures juridiques et techniques spécifiques appliquées au traitement de données sensibles, visant à garantir leur confidentialité et leur sécurité, en raison de leur impact potentiel sur la vie privée et les libertés individuelles.

📖 7. Conservation limitée des données

🔑 Notions clés & Définitions

📝 Points essentiels

• Les données doivent être conservées uniquement pendant la durée nécessaire à leur finalité.
• Dès que cette finalité est atteinte, les données doivent être supprimées, anonymisées ou archivées selon le contexte.
• La durée de conservation doit être déterminée par le responsable de traitement, en tenant compte des obligations légales et des risques.
• Le droit à l’oubli garantit la suppression des données lorsque leur conservation n’est plus justifiée.
• La conservation prolongée sans justification constitue une violation du RGPD et expose à des sanctions.

💡 À retenir

La conservation limitée impose de ne garder les données que le temps nécessaire à leur traitement, en assurant leur suppression ou anonymisation dès que la finalité est atteinte.

📖 8. Obligation de sécurité

🔑 Notions clés & Définitions

• Obligation de sécurité : Responsabilité imposée aux responsables de traitement pour assurer la protection des données personnelles contre tout accès, divulgation, altération ou destruction non autorisés. Elle implique la mise en œuvre de mesures techniques et organisationnelles adaptées.

• Mesures de sécurité : Actions concrètes (cryptage, contrôle d’accès, sauvegardes, etc.) destinées à garantir la confidentialité, l’intégrité, la disponibilité et la résilience des données traitées.

• Risques liés au traitement : Probabilités d’incidents ou de violations de données pouvant porter atteinte aux droits et libertés des personnes concernées, tels que le vol, la perte ou la fuite d’informations.

• Confidentialité : Garantie que seules les personnes autorisées ont accès aux données, évitant toute divulgation non autorisée.

• Périmètre de sécurité : Ensemble des dispositifs, procédures et contrôles déployés pour protéger les données en fonction de leur sensibilité et des risques identifiés.

• Point à retenir : La sécurité des données est une obligation fondamentale du RGPD, visant à prévenir tout incident pouvant compromettre la vie privée des personnes et la conformité légale de l’organisme.

📖 9. Transparence et droits des personnes

🔑 Notions clés & Définitions

• Transparence : Obligation d'informer clairement et compréhensiblement les personnes concernées sur l’utilisation de leurs données personnelles, leurs droits et les modalités d’exercice de ces droits.
• Droits des personnes : Ensemble des prérogatives permettant à chaque individu de contrôler ses données personnelles, telles que le droit d’accès, de rectification, d’effacement, d’opposition, de portabilité et de retrait du consentement.
• Données sensibles : Catégories de données à caractère personnel particulièrement protégées par le RGPD, telles que les origines raciales, opinions politiques, santé, orientation sexuelle, nécessitant des mesures renforcées pour leur traitement.
• Consentement : Manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte le traitement de ses données personnelles, souvent sous forme d’un acte positif clair.
• Droit à l’oubli : Droit pour une personne de demander la suppression de ses données personnelles lorsque leur traitement n’est plus nécessaire ou si le traitement est illicite, sous réserve de certaines exceptions légales.
• Obligation de sécurité : Responsabilité de l’organisme de mettre en œuvre des mesures techniques et organisationnelles pour garantir la confidentialité, l’intégrité et la disponibilité des données personnelles.

📝 Points essentiels

• La transparence est un principe fondamental du RGPD, visant à instaurer la confiance entre responsables de traitement et personnes concernées.
• Les droits des personnes doivent être clairement informés via une politique de confidentialité accessible, qui détaille notamment le traitement, la finalité, la durée de conservation, et les modalités d’exercice des droits.
• Le consentement doit être recueilli de manière explicite pour certains traitements, notamment pour les données sensibles ou hors cadre légal.
• La gestion des droits inclut la possibilité pour la personne de demander l’accès à ses données, leur rectification, leur suppression, ou encore de s’opposer à leur traitement ou de demander leur portabilité.
• La sécurité des données est essentielle pour prévenir tout accès non autorisé, fuite ou altération, en conformité avec l’obligation de sécurité.
• Le non-respect de ces principes peut entraîner des sanctions administratives et pénales.

💡 À retenir

La transparence et le respect des droits des personnes sont essentiels pour garantir la légitimité, la sécurité et la confiance dans la gestion des données personnelles, conformément au RGPD.

📖 10. Encadrement des transferts hors UE

🔑 Notions clés & Définitions

Point à retenir

Le transfert de données hors UE doit être encadré par des garanties légales strictes pour assurer la protection des données personnelles conformément au RGPD.

📊 Tableaux de Synthèse

⚠️ Pièges & Confusions Fréquentes

1. Confondre la finalité initiale et la finalité détournée, entraînant des sanctions.
2. Négliger la nécessité de la base légale pour chaque traitement, risquant une licéité compromise.
3. Sous-estimer l’importance de la minimisation, en collectant trop de données.
4. Ignorer le traitement des données sensibles ou traiter ces données sans mesures renforcées.
5. Omettre de définir une durée de conservation précise, menant à une conservation excessive.
6. Négliger la mise en œuvre de mesures de sécurité adaptées, exposant les données à des risques.
7. Confondre consentement et autres bases légales, ou ne pas le rendre facilement révocable.
8. Oublier d’informer clairement la personne concernée sur l’usage de ses données.
9. Transférer des données hors UE sans encadrement juridique strict.
10. Ne pas documenter les traitements, ce qui complique la preuve de conformité.
11. Se focaliser uniquement sur la collecte, sans prévoir la gestion des droits (accès, rectification, suppression).

✅ Checklist Examen

• Maîtrise des principes fondamentaux du RGPD : licéité, finalité, minimisation, sécurité, conservation.
• Connaissance des règles d’or : bases légales, données sensibles, mesures renforcées, transparence.
• Capacité à définir une finalité précise, légitime, et à éviter le détournement.
• Savoir identifier la base légale appropriée pour chaque traitement.
• Comprendre l’importance de la minimisation des données et de leur limitation dans le temps.
• Connaissance des mesures techniques et organisationnelles pour assurer la sécurité.
• Savoir informer clairement les personnes concernées et respecter leurs droits.
• Maîtrise des conditions encadrant les transferts hors UE.
• Être capable d’identifier et d’éviter les erreurs courantes et pièges liés à la conformité RGPD.
• Vérifier la documentation et la traçabilité des traitements.
• Connaître les sanctions en cas de non-respect du RGPD.
• Vérifier la conformité des traitements avec la législation en vigueur.