QCM : Protection des données et transferts (23 questions)

Explication

Une information est une donnée personnelle dès lors qu’elle se rapporte à une personne physique identifiable directement ou indirectement. L’anonymat sans lien avec une personne écarte à tort la possibilité d’identification indirecte, l’organisation n’est pas la personne concernée et les coordonnées civiles ne sont pas les seules données personnelles.

Explication

Le règlement 2016/679 a été adopté le 27 avril 2016 et est applicable depuis le 25 mai 2018. Le 27 avril correspond à son adoption, 2016 figure dans son numéro et le 24 octobre 1995 est la date de l’ancienne directive.

Explication

La répartition des rôles distingue le cadre juridique établi par l’Union européenne, le contrôle assuré par les autorités nationales et le respect des obligations par les organisations. Établir les règles ou contrôler leur application relève d’autres acteurs, tandis que les sanctions sont prononcées par les autorités compétentes.

Explication

Le RGPD vise notamment à donner davantage de contrôle aux personnes et à encadrer la collecte et l’utilisation des données par les organisations. La consultation et la copie relèvent du droit d’accès, la sécurité technique ne résume pas cet objectif et le règlement n’interdit pas toute collecte.

Explication

L’article 5 énonce sept principes, dont la limitation des finalités, la minimisation, la limitation de la conservation et la responsabilité. Les droits comme l’accès et la rectification ne sont pas ces principes, la conservation illimitée contredit leur limitation et le consentement ne remplace pas le principe de responsabilité.

Explication

L’article 44 du RGPD exige que le transfert ne compromette pas le niveau de protection garanti par le règlement, y compris lors des transferts ultérieurs. Limiter la règle au transfert initial oublie les transferts suivants, tandis que l’hébergement dans l’Union et l’adaptation aux règles locales ne constituent pas le principe énoncé.

Explication

Une décision d’adéquation reconnaît qu’un pays tiers offre un niveau de protection suffisamment proche de celui garanti par le droit européen, sans exiger des règles identiques. L’identité parfaite des règles, la signature de clauses et une approbation par chaque autorité nationale ne définissent pas cette décision.

Explication

Une décision d’adéquation permet aux entreprises européennes de transférer des données vers le pays reconnu sans mettre en place de garantie supplémentaire spécifique pour chaque transfert. Les clauses types et la vérification de la législation concernent d’autres mécanismes, et le dispositif ne prévoit pas une approbation individuelle de chaque transfert.

Explication

Les clauses contractuelles types sont établies par la Commission européenne et intégrées au contrat entre l’entreprise européenne et le destinataire étranger pour imposer des garanties relatives aux données personnelles. Les règles internes de groupe et les décisions d’adéquation sont des mécanismes distincts; les clauses ne sont pas établies par le destinataire.

Explication

La signature des clauses ne suffit pas toujours : l’entreprise doit vérifier que la législation du pays destinataire permet réellement de respecter les garanties et peut devoir prévoir des mesures supplémentaires. Considérer la signature ou les clauses comme neutralisant la loi locale méconnaît cette vérification; l’approbation individuelle de chaque transfert n’est pas la démarche décrite.

Explication

Les BCR sont des règles internes juridiquement contraignantes qui encadrent les transferts de données entre les entités d’un groupe international. Les clauses types sont intégrées à un contrat avec un destinataire, l’adéquation reconnaît le niveau de protection d’un pays et de simples consignes facultatives ne sont pas des BCR.

Explication

Pour être valables, les BCR doivent être appliquées par les entités concernées, garantir des droits aux personnes concernées et être approuvées dans le cadre prévu par le RGPD. La seule rédaction, l’application sans droits garantis ou des droits sans application ne satisfont pas à ces conditions.

Explication

L’article 49 permet certains transferts sans adéquation ni garanties, mais ses dérogations sont réservées à des situations particulières et ne peuvent servir de moyen régulier. L’usage habituel confond exception et mécanisme général, le seul besoin de l’entreprise ne constitue pas une autorisation générale, et l’absence de dérogation nie les possibilités prévues par cet article.

Explication

L’article 49 prévoit le consentement explicite de la personne concernée, à condition qu’elle ait été informée des risques. La simple information ne vaut pas consentement, l’intérêt public constitue un autre fondement et les intérêts vitaux correspondent à une situation distincte.

Explication

Dans Schrems I, en 2015, la Cour de justice de l’Union européenne a invalidé le système Safe Harbor. Le Privacy Shield a été invalidé dans Schrems II, tandis que le Data Privacy Framework date de 2023 et que les clauses contractuelles types sont un autre mécanisme.

Explication

Après Schrems II, les clauses contractuelles types ne suffisent pas lorsque le pays destinataire a des lois intrusives : des mesures complémentaires, par exemple un chiffrement renforcé dont la clé reste en Europe, sont nécessaires. Les clauses seules reproduisent précisément la confusion documentée, le consentement général ne remplace pas ces garanties et transférer la clé au destinataire affaiblit la protection envisagée.

Explication

La décision d’adéquation adoptée en juillet 2023 permet les transferts vers les entreprises américaines participant au EU-US Data Privacy Framework. L’implantation aux États-Unis ne suffit pas, un contrat ne rend pas automatiquement l’entreprise participante, et la décision vise les entreprises américaines inscrites au cadre, non les entreprises européennes.

Explication

Le 12 mai 2023, l’autorité irlandaise a condamné Meta à une amende de 1,2 milliard d’euros pour les transferts concernés, fondés sur des clauses contractuelles types jugées insuffisantes. L’ordre de cesser les transferts était une mesure distincte, et les autres montants ou devises ne correspondent pas à la sanction prononcée.

Explication

Les États africains disposent de leurs propres législations et autorités de contrôle : il n’existe pas de régime unique applicable à tous. Un régime continental unique confond l’harmonisation avec l’uniformité, tandis que les deux autres réponses généralisent un système national ou supposent une autorité unique.

Explication

Le Sénégal ne bénéficie pas d’une décision d’adéquation au titre de l’article 45 ; l’entreprise doit donc s’appuyer sur un autre mécanisme du chapitre V, par exemple les garanties appropriées de l’article 46. L’option sur l’article 45 confond droit national et adéquation, tandis que les deux autres substituent au mécanisme européen le cadre sénégalais.

Explication

Le Maroc ne bénéficie pas d’une décision d’adéquation de l’Union européenne : les transferts vers ce pays restent soumis aux exigences du chapitre V, quelle que soit la qualité du droit marocain. L’adéquation européenne et l’autorisation fondée sur la seule qualité du droit national confondent deux notions ; l’option sur les règles marocaines les substitue à tort au cadre européen du transfert.

Explication

La Chine dispose de la PIPL depuis 2021, et l’une de ses parties traite des transferts de données vers l’étranger. Les autres dates sont des repères temporels erronés pour cette loi.

Explication

La Chine ne bénéficie pas d’une décision d’adéquation européenne ; le transfert initial depuis l’Union doit donc reposer sur un autre mécanisme du chapitre V du RGPD. La PIPL et les règles applicables après l’arrivée encadrent les données dans le système chinois, mais ne remplacent pas le cadre européen du transfert initial.