QCM : Protection des données personnelles (46 questions)

Questions et réponses du QCM

1. Quelle définition rend compte de la portée du numérique selon Suzanne Lequette ?

Une collection de composants matériels consacrés au stockage local des informations.
Une méthode de communication qui repose sur la transmission analogique des données.
Un champ d’innovations fondées sur le codage binaire de l’information et transformant profondément les sociétés.
Un ensemble de calculs automatisés destiné à remplacer les échanges entre les personnes.

Un champ d’innovations fondées sur le codage binaire de l’information et transformant profondément les sociétés.

Explication

Cette définition associe le codage binaire électronique à des innovations qui transforment les sociétés. La réduction du numérique à des calculs automatisés ne rend pas compte de cette portée sociale plus large.

2. Une équipe encode des informations avant qu’un système ne les traite automatiquement : quelle distinction décrit correctement ces opérations ?

L’informatique encode l’information, tandis que le numérique rassemble les technologies qui la traitent.
L’informatique concerne les échanges sociaux, tandis que le numérique désigne leur régulation juridique.
Le numérique encode l’information, tandis que l’informatique rassemble les technologies qui la traitent.
Le numérique désigne le matériel, tandis que l’informatique désigne les logiciels utilisés pour le traiter.

Le numérique encode l’information, tandis que l’informatique rassemble les technologies qui la traitent.

Explication

Le numérique renvoie à l’écriture qui encode l’information, alors que l’informatique regroupe les technologies et calculs qui la traitent automatiquement. Confondre ces rôles revient à attribuer l’encodage à l’informatique et le traitement au numérique.

3. Quel rôle joue le codage binaire dans le parcours d’une information numérique ?

Il classe l’information selon sa popularité afin de déterminer son traitement et sa réception par les usagers.
Il représente l’information par des 0 et des 1 pour permettre son traitement, sa circulation et sa réception par une interface.
Il transforme l’information en composants matériels pour permettre son stockage, son transport et sa réparation.
Il convertit l’information en règles juridiques afin d’encadrer sa circulation et son utilisation.

Il représente l’information par des 0 et des 1 pour permettre son traitement, sa circulation et sa réception par une interface.

Explication

Le codage binaire représente l’information par des 0 et des 1, ce qui rend possibles son traitement, sa circulation et sa réception par une interface. Le classement selon la popularité relève plutôt des choix de mise en avant des opérateurs.

4. Une plateforme utilise les données pour cibler ses usagers, établir des statistiques et traiter des informations : sur quoi repose cette activité économique ?

Sur l’exploitation des données à des fins de ciblage, de statistique et de traitement de l’information.
Sur la fabrication de composants matériels destinés à équiper les interfaces des usagers.
Sur la transmission de messages analogiques indépendamment des informations recueillies.
Sur la diffusion de règles spontanées qui encadrent les échanges entre les opérateurs.

Sur l’exploitation des données à des fins de ciblage, de statistique et de traitement de l’information.

Explication

L’économie numérique repose sur les données, notamment mobilisées pour le ciblage, les statistiques et le traitement de l’information. La fabrication de composants matériels ne correspond pas au rôle central attribué aux données dans cette économie.

5. Des personnes échangent par l’intermédiaire d’interfaces sans être réunies dans un lieu physique commun : quelle notion décrit cet espace ?

L’économie numérique, un marché physique où les données sont échangées entre les usagers.
Le cyberespace, une zone virtuelle où les interactions échappent aux contraintes ordinaires d’espace et de temps.
L’informatique, un ensemble de calculs qui réunit les personnes dans un espace matériel commun.
La lex electronica, un ensemble de règles contraignantes qui organise les interactions virtuelles.

Le cyberespace, une zone virtuelle où les interactions échappent aux contraintes ordinaires d’espace et de temps.

Explication

Le cyberespace est une zone virtuelle d’interaction par interface, sans matérialité propre et échappant aux contraintes ordinaires d’espace et de temps. L’informatique désigne plutôt les technologies et calculs qui traitent l’information.

6. Pourquoi le droit du numérique traite-t-il les phénomènes numériques de manière particulière ?

Pour remplacer les règles générales du droit par des protocoles élaborés par les opérateurs.
Pour saisir leur fonction socio-économique et les conséquences de l’émergence d’une société numérique.
Pour réduire l’innovation numérique à la seule protection des composants matériels.
Pour réserver la régulation des interactions numériques aux choix individuels des utilisateurs.

Pour saisir leur fonction socio-économique et les conséquences de l’émergence d’une société numérique.

Explication

Le droit du numérique cherche à saisir la fonction socio-économique du numérique et les conséquences de l’émergence d’une société numérique afin de leur appliquer un traitement juridique particulier. Le remplacement général du droit par des protocoles ne constitue pas cet objet.

7. Une mesure juridique encadre les libertés dans un espace en ligne et cherche à réduire les dangers liés aux usages numériques : quels objectifs du droit du numérique combine-t-elle ?

Accroître les libertés individuelles et collectives et accélérer l’innovation numérique.
Protéger les opérateurs privés et soustraire leurs protocoles à l’encadrement juridique.
Encadrer les libertés individuelles et collectives et limiter les risques numériques.
Contrôler les échanges économiques et transférer la régulation aux seuls utilisateurs.

Encadrer les libertés individuelles et collectives et limiter les risques numériques.

Explication

Le droit du numérique poursuit à la fois l’encadrement des libertés individuelles et collectives et la limitation des risques numériques. L’accélération de l’innovation ne remplace pas ces deux objectifs.

8. Quel principe Laurence Lessig met-il en avant concernant les protocoles informatiques ?

Ils peuvent réguler les comportements en ligne et doivent donc être encadrés juridiquement.
Ils organisent la publication des utilisateurs et relèvent exclusivement de règles spontanées.
Ils servent à traiter automatiquement les données et échappent de ce fait à la régulation juridique.
Ils garantissent la transparence des systèmes et écartent les risques liés à l’innovation.

Ils peuvent réguler les comportements en ligne et doivent donc être encadrés juridiquement.

Explication

Selon Laurence Lessig, les protocoles informatiques peuvent réguler les comportements dans l’espace numérique, ce qui justifie leur encadrement juridique. Leur fonction de régulation ne signifie pas qu’ils échappent au droit.

9. Une personne estime qu’un contenu numérique porte atteinte à sa vie privée : quelle disposition peut fonder une action en justice ?

L’article 29 de la loi sur la liberté de la presse, qui protège la vie privée.
La loi Informatique et Libertés, qui sanctionne les atteintes à la réputation.
L’article 9 du Code civil, qui protège la vie privée.
Le RGPD, qui fonde toute action liée à un contenu publié en ligne.

L’article 9 du Code civil, qui protège la vie privée.

Explication

L’article 9 du Code civil protège la vie privée et peut fonder une action liée au numérique. L’article 29 de la loi sur la liberté de la presse vise notamment la diffamation et l’injure, et non la protection générale de la vie privée.

10. Un message publié sur un réseau social contient des propos diffamatoires : quelle disposition permet de sanctionner cette infraction ?

L’article 29 de la loi du 29 juillet 1881 sur la liberté de la presse.
La loi Informatique et Libertés du 6 janvier 1978 relative aux données personnelles.
L’article 9 du Code civil relatif à la protection de la vie privée.
La lex electronica, ensemble de règles dépourvues de force contraignante propre.

L’article 29 de la loi du 29 juillet 1881 sur la liberté de la presse.

Explication

L’article 29 de la loi du 29 juillet 1881 permet de sanctionner la diffamation et l’injure, y compris lorsque le message est diffusé sur un réseau social. L’article 9 du Code civil protège la vie privée, mais ne constitue pas la disposition visée pour ces infractions.

11. Quel est le rôle de la loi Informatique et Libertés du 6 janvier 1978 ?

Protéger la vie privée en établissant le principe général de l’article 9 du Code civil.
Protéger les personnes physiques face aux traitements de leurs données et fonder la CNIL.
Sanctionner la diffamation et l’injure commises au moyen de contenus numériques.
Imposer aux opérateurs des règles spontanées sans force contraignante propre.

Protéger les personnes physiques face aux traitements de leurs données et fonder la CNIL.

Explication

La loi Informatique et Libertés protège les personnes physiques face aux traitements de leurs données et fonde la CNIL. La sanction de la diffamation et de l’injure relève plutôt de l’article 29 de la loi sur la liberté de la presse.

12. Des opérateurs et des usagers élaborent des règles numériques négociées ou spontanées, sans leur donner de force contraignante propre : de quel ensemble s’agit-il ?

De la compliance, qui internalise des objectifs d’intérêt général et prévoit des sanctions.
Du RGPD, qui protège les personnes physiques face aux traitements de leurs données.
De la lex electronica, formée de règles produites par les opérateurs ou les usagers.
De l’article 29 de la loi sur la liberté de la presse, qui vise la diffamation et l’injure.

De la lex electronica, formée de règles produites par les opérateurs ou les usagers.

Explication

La lex electronica désigne des règles négociées ou spontanées du droit du numérique produites par les opérateurs ou les usagers, sans force contraignante propre. La compliance se distingue notamment par l’internalisation d’objectifs d’intérêt général et l’existence de sanctions en cas de manquement.

13. Quelle distinction oppose la vision réaliste à la vision personnaliste des données personnelles ?

La vision réaliste les considère comme des biens appropriables et vendables, tandis que la vision personnaliste les rattache à la personne.
La vision réaliste les considère comme des moyens de traitement, tandis que la vision personnaliste les rattache aux autorités publiques.
La vision réaliste les traite comme des informations anonymes, tandis que la vision personnaliste les considère comme des secrets professionnels.
La vision réaliste les rattache à la personne, tandis que la vision personnaliste les considère comme des biens vendables.

La vision réaliste les considère comme des biens appropriables et vendables, tandis que la vision personnaliste les rattache à la personne.

Explication

La vision réaliste met l’accent sur l’appropriation et la valeur marchande, alors que la vision personnaliste voit les données comme des attributs de la personne. La confusion la plus plausible inverse précisément ces deux conceptions.

14. Une entreprise établie hors de l’Union européenne traite des données de personnes qui s’y trouvent : dans quelle situation le RGPD peut-il s’appliquer ?

Il peut s’appliquer au traitement visant des personnes situées dans l’Union, même si l’entreprise est établie hors de celle-ci.
Il peut s’appliquer aux personnes situées dans l’Union seulement lorsque le traitement est effectué par une autorité publique.
Il peut s’appliquer aux entreprises établies hors de l’Union seulement si elles y possèdent un établissement permanent.
Il peut s’appliquer si l’entreprise transfère son siège dans l’Union avant de commencer le traitement.

Il peut s’appliquer au traitement visant des personnes situées dans l’Union, même si l’entreprise est établie hors de celle-ci.

Explication

Le RGPD couvre notamment les traitements visant des personnes qui se trouvent dans l’Union, même lorsque l’opérateur est établi à l’extérieur. L’existence d’un établissement permanent dans l’Union n’est pas nécessaire pour que cette règle s’applique.

15. Laquelle de ces informations constitue une donnée à caractère personnel au sens du RGPD ?

Une information se rapportant à une personne physique identifiable directement ou indirectement.
Une information statistique, même si elle ne se rapporte à aucune personne identifiable.
Une information se rapportant à une entreprise identifiable directement ou indirectement.
Une information concernant une personne physique, mais seulement si son nom y figure explicitement.

Une information se rapportant à une personne physique identifiable directement ou indirectement.

Explication

Une donnée personnelle est toute information concernant une personne physique identifiée ou identifiable, y compris indirectement. La présence explicite du nom n’est pas indispensable si la personne peut être identifiée par d’autres éléments.

16. Qu’est-ce qui caractérise une donnée anonyme par opposition à une donnée pseudonymisée ?

Le lien avec la personne n’a jamais existé ou a été supprimé définitivement par un procédé irréversible.
Le lien avec la personne est conservé dans une table séparée accessible à un nombre limité d’opérateurs.
Les identifiants directs sont retirés, mais des éléments permettent encore de retrouver la personne.
Le nom est remplacé par un code réversible au moyen d’une information détenue par le responsable.

Le lien avec la personne n’a jamais existé ou a été supprimé définitivement par un procédé irréversible.

Explication

L’anonymisation suppose que le lien avec la personne soit inexistant ou effacé de façon irréversible. Le remplacement du nom par un code réversible correspond plutôt à la pseudonymisation, qui conserve un moyen de rattachement.

17. Quel rôle définit le responsable du traitement ?

Exécuter le traitement pour le compte d’un organisme en suivant ses instructions.
Déterminer les finalités et les moyens du traitement des données personnelles.
Contrôler le respect du RGPD et prononcer des sanctions administratives.
Déposer une plainte au nom des personnes concernées par le traitement.

Déterminer les finalités et les moyens du traitement des données personnelles.

Explication

Le responsable du traitement est l’acteur qui décide des finalités et des moyens du traitement. L’exécution selon les instructions d’un autre acteur caractérise plutôt le sous-traitant.

18. Une entreprise confie à un prestataire l’exécution d’un traitement selon ses instructions : quel est le rôle du prestataire ?

Il agit comme représentant des personnes concernées en exerçant leurs droits.
Il agit comme responsable en déterminant les finalités et les moyens du traitement.
Il agit comme autorité de contrôle en vérifiant la conformité du traitement.
Il agit comme sous-traitant en exécutant le traitement pour le compte de l’entreprise.

Il agit comme sous-traitant en exécutant le traitement pour le compte de l’entreprise.

Explication

Le prestataire est un sous-traitant lorsqu’il exécute le traitement pour le compte du responsable et selon ses instructions. Le pouvoir de fixer les finalités et les moyens relève du responsable, et non du prestataire dans ce scénario.

19. Quelle institution française indépendante protège notamment les droits fondamentaux des personnes concernées par les traitements de données ?

L’Autorité de la concurrence, chargée de protéger les droits liés aux données personnelles.
Le Parlement européen, autorité française chargée de réguler les traitements nationaux.
Le Conseil d’État, juridiction administrative chargée de contrôler les traitements.
La CNIL, autorité administrative indépendante créée en 1978.

La CNIL, autorité administrative indépendante créée en 1978.

Explication

La CNIL est l’autorité administrative indépendante française chargée notamment de protéger les droits fondamentaux des personnes concernées. Le Conseil d’État est une juridiction, et non l’autorité nationale de protection des données décrite ici.

20. Quel plafond de sanction pécuniaire la CNIL peut-elle atteindre en cas de violation du RGPD ?

20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’opérateur condamné.
5 millions d’euros ou 4 % du chiffre d’affaires annuel réalisé en France.
10 millions d’euros ou 2 % du chiffre d’affaires annuel réalisé dans l’Union européenne.
30 millions d’euros ou 5 % du chiffre d’affaires annuel national de l’opérateur condamné.

20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’opérateur condamné.

Explication

Le plafond indiqué est de 20 millions d’euros ou de 4 % du chiffre d’affaires annuel mondial de l’opérateur condamné. Le chiffre d’affaires pris en compte n’est pas limité au territoire français ou à l’Union européenne.

21. Quelle amende maximale la CNIL peut-elle prononcer pour une violation du RGPD ?

Une amende pouvant atteindre 4 % du chiffre d’affaires réalisé dans le pays où la violation a eu lieu.
Une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’opérateur.
Une amende plafonnée à 4 millions d’euros ou à 20 % du chiffre d’affaires annuel mondial.
Une amende plafonnée à 20 millions d’euros, sans référence au chiffre d’affaires de l’opérateur.

Une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’opérateur.

Explication

La CNIL peut prononcer une amende atteignant 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’opérateur condamné. Le plafond ne se limite pas à une somme fixe indépendante du chiffre d’affaires.

22. Quel est le rôle du délégué à la protection des données lorsqu’un organisme rencontre un manquement en matière de données ?

Accompagner l’organisme dans la protection des données et être en lien direct avec la CNIL en cas de manquement.
Représenter automatiquement les personnes concernées dans toute plainte déposée contre l’organisme.
Prononcer au nom de la CNIL les sanctions applicables à l’organisme fautif.
Déterminer à la place de l’organisme les finalités du traitement et les moyens employés.

Accompagner l’organisme dans la protection des données et être en lien direct avec la CNIL en cas de manquement.

Explication

Le DPO accompagne l’organisme en matière de protection des données et communique directement avec la CNIL en cas de manquement. Il ne se substitue pas à l’organisme pour décider des finalités ni à la CNIL pour prononcer des sanctions.

23. Quelle institution créée par le RGPD en 2018 a succédé au groupe de l’article 29 et rassemble les présidents des autorités nationales de contrôle ainsi que le contrôleur européen de la protection des données ?

Le Contrôleur européen de la protection des données
Le Comité européen de la protection des données
Le Conseil de l’Union européenne
La Commission européenne

Le Comité européen de la protection des données

Explication

Le Comité européen de la protection des données (CEPD) a été créé en 2018 pour succéder au groupe de l’article 29 et réunit les représentants indiqués. Le Contrôleur européen de la protection des données en est un membre, mais ne constitue pas l’institution qui rassemble l’ensemble des autorités nationales.

24. Quelle distinction caractérise le rôle du CEPD par rapport à celui des autorités nationales de contrôle ?

Il favorise la coopération et la cohérence, mais ne peut ni enquêter ni sanctionner.
Il autorise les traitements paneuropéens et impose des sanctions aux responsables.
Il reçoit les plaintes individuelles et conduit les contrôles à la place des autorités nationales.
Il enquête sur les traitements et prononce des sanctions dans chaque État membre.

Il favorise la coopération et la cohérence, mais ne peut ni enquêter ni sanctionner.

Explication

Le CEPD favorise la coopération, veille à la cohérence du RGPD et conseille la Commission, sans disposer de pouvoirs d’enquête ou de sanction. Ces pouvoirs de contrôle et de sanction relèvent des autorités nationales, contrairement à l’option qui les attribue au Comité.

25. Pour un traitement paneuropéen identique dans plusieurs États membres, que permet le mécanisme du guichet unique ?

Saisir une autorité de contrôle dans un seul État membre.
Transférer le contrôle du traitement à la Commission européenne.
Désigner une autorité différente pour chaque catégorie de données.
Obtenir l’autorisation préalable de chaque autorité nationale concernée.

Saisir une autorité de contrôle dans un seul État membre.

Explication

Le guichet unique centralise la saisine auprès d’une autorité de contrôle dans un seul État membre pour un traitement paneuropéen identique. Il ne signifie pas que chacune des autorités nationales doit donner une autorisation préalable.

26. Lors d’un contrôle de cohérence, que se passe-t-il si l’autorité chef de file rejette les objections des autres autorités concernées ?

La Commission européenne remplace l’autorité chef de file et rend une décision définitive.
Les autorités concernées disposent d’un nouveau délai de quatre semaines pour saisir un tribunal.
Le CEPD est saisi et rend un avis consultatif, susceptible dans certains cas motivés de s’imposer comme décision conjointe.
Le traitement est suspendu jusqu’à ce que chaque autorité nationale approuve la position.

Le CEPD est saisi et rend un avis consultatif, susceptible dans certains cas motivés de s’imposer comme décision conjointe.

Explication

Après le rejet des objections, le CEPD peut être saisi et rendre un avis consultatif qui, dans certains cas particulièrement motivés, peut s’imposer comme décision conjointe. Le délai de quatre semaines sert aux autres autorités à approuver la position ou à s’y opposer, et ne constitue pas un délai judiciaire supplémentaire.

27. Quels principes l’article 5, paragraphe 1, du RGPD impose-t-il pour le traitement des données personnelles ?

La finalité, la limitation et la pseudonymisation.
La licéité, la loyauté et la transparence.
La nécessité, la sécurité et la portabilité.
La confidentialité, l’exactitude et la disponibilité.

La licéité, la loyauté et la transparence.

Explication

L’article 5, paragraphe 1, exige que les données personnelles soient traitées de manière licite, loyale et transparente. La sécurité et la portabilité sont des notions importantes du RGPD, mais ne constituent pas les trois principes visés ici.

28. Que désigne le principe d’accountability pour le responsable du traitement ?

La publication systématique des données utilisées dans le traitement.
L’obligation d’obtenir le consentement pour toute collecte de données.
La responsabilité de respecter les principes applicables au traitement.
Le transfert de la responsabilité de conformité à l’autorité de contrôle.

La responsabilité de respecter les principes applicables au traitement.

Explication

L’accountability rend le responsable du traitement responsable du respect des principes applicables à ses traitements. Elle ne transforme pas le consentement en base obligatoire pour toute collecte, car d’autres bases juridiques peuvent s’appliquer.

29. Une entreprise traite des données ordinaires parce que cela est nécessaire à l’exécution d’un contrat ; quelle condition permet de considérer ce traitement comme licite ?

Il reçoit nécessairement le consentement préalable de chaque personne.
Il est approuvé au préalable par le Comité européen de la protection des données.
Il concerne des données rendues publiques par les personnes concernées.
Il repose sur une base juridique reconnue par l’article 6 du RGPD.

Il repose sur une base juridique reconnue par l’article 6 du RGPD.

Explication

La nécessité contractuelle est l’une des bases juridiques pouvant rendre licite le traitement de données ordinaires au titre de l’article 6. Exiger dans ce cas un consentement préalable méconnaîtrait le fait que le consentement n’est qu’une base juridique parmi d’autres.

30. Une personne n’a pas décoché une case précochée lors de son inscription ; cette action vaut-elle consentement valable au traitement ?

Oui, car le maintien d’une case précochée manifeste un accord éclairé.
Oui, si les finalités du traitement sont affichées à côté de la case.
Non, car le consentement ne peut être donné que par une déclaration orale.
Non, car le consentement exige une manifestation univoque par déclaration ou acte positif clair.

Non, car le consentement exige une manifestation univoque par déclaration ou acte positif clair.

Explication

Le consentement doit être libre, éclairé, lié à une ou plusieurs finalités spécifiques et exprimé par une manifestation univoque, telle qu’un acte positif clair. L’affichage des finalités ne transforme pas l’absence d’action sur une case précochée en manifestation positive.

31. Quel est le principe posé par l’article 9 du RGPD concernant le traitement des données sensibles ?

Il est soumis aux mêmes règles que les données ordinaires, sans régime distinct.
Il est permis lorsque les données sont collectées pour une finalité commerciale.
Il est en principe interdit, sauf si une exception prévue par le RGPD le justifie.
Il est licite dès lors que le responsable invoque une base de l’article 6.

Il est en principe interdit, sauf si une exception prévue par le RGPD le justifie.

Explication

L’article 9 interdit en principe le traitement des données sensibles, sous réserve des exceptions prévues par le RGPD. Une base juridique de l’article 6 applicable aux données ordinaires ne suffit pas, à elle seule, à écarter ce régime particulier.

32. Laquelle de ces catégories relève des données sensibles au sens du RGPD ?

Les données biométriques utilisées pour identifier une personne de manière unique.
Les informations sur les horaires habituels d’ouverture d’un commerce.
Les coordonnées professionnelles indiquant le nom et le poste d’une personne.
Les références de commande associées à un compte client.

Les données biométriques utilisées pour identifier une personne de manière unique.

Explication

Les données biométriques destinées à identifier une personne de manière unique font partie des catégories de données sensibles. Des coordonnées professionnelles peuvent identifier une personne, mais elles ne figurent pas pour cette seule raison parmi les catégories énumérées ici.

33. Un établissement de santé doit traiter des données sensibles concernant une personne incapable de consentir afin de protéger sa vie ; quelle exception peut justifier ce traitement ?

La collecte de données sensibles sans motif particulier dès lors qu’elles sont exactes.
La sauvegarde des intérêts vitaux lorsque la personne ne peut consentir.
La nécessité contractuelle applicable à tout service fourni au patient.
La poursuite d’un intérêt commercial jugé avantageux par l’établissement.

La sauvegarde des intérêts vitaux lorsque la personne ne peut consentir.

Explication

La sauvegarde des intérêts vitaux peut justifier un traitement de données sensibles lorsque la personne concernée ne peut consentir. Un intérêt commercial ou une simple nécessité contractuelle ne constitue pas, dans les faits décrits, l’exception spécifique présentée.

34. Comment le responsable du traitement doit-il communiquer les informations aux personnes concernées au titre de l’article 12 du RGPD ?

De façon concise, transparente, compréhensible et aisément accessible, en termes clairs et simples
De façon individualisée après une demande, dans un langage juridique précis
De façon exhaustive et technique, en laissant aux personnes le soin d’en interpréter les conséquences
De façon synthétique et accessible, mais en réservant les détails aux autorités de contrôle

De façon concise, transparente, compréhensible et aisément accessible, en termes clairs et simples

Explication

L’article 12 exige une information concise, transparente, compréhensible et aisément accessible, rédigée en termes clairs et simples. Un langage technique ou juridique difficile à comprendre ne répond pas à ces exigences.

35. Une entreprise décrit clairement sa politique de confidentialité, mais masque volontairement une opération de traitement dans sa mise en œuvre : quel principe est principalement mis en cause ?

La transparence, car elle porte sur la manière d’informer les personnes concernées
La minimisation, car elle impose de réduire les données collectées pour chaque opération
La loyauté, car elle interdit les comportements trompeurs et la dissimulation d’opérations
La limitation de conservation, car elle encadre la durée de stockage des informations

La loyauté, car elle interdit les comportements trompeurs et la dissimulation d’opérations

Explication

La loyauté s’applique à chaque étape du traitement et s’oppose notamment aux manœuvres trompeuses et à la dissimulation. La transparence concerne la manière d’informer, mais ne résume pas l’exigence de comportement loyal dans la mise en œuvre.

36. Après la réforme du régime de protection des données, quelle responsabilité incombe principalement au responsable du traitement en matière de conformité ?

Prendre des mesures organisationnelles et techniques garantissant la conformité, sans autorisation préalable générale
Déposer une déclaration préalable pour chaque traitement, puis appliquer les recommandations reçues
Confier à l’autorité de contrôle la mise en place des mesures garantissant la conformité du traitement
Obtenir une autorisation préalable générale avant de mettre en œuvre chaque traitement de données

Prendre des mesures organisationnelles et techniques garantissant la conformité, sans autorisation préalable générale

Explication

Le régime de formalités préalables a été remplacé par une obligation de responsabilité : le responsable doit prendre des mesures organisationnelles et techniques assurant la conformité. L’obtention d’une autorisation générale avant chaque traitement ne correspond pas à ce régime.

37. Une équipe veut intégrer la protection des données dès la création d’un nouveau traitement et protéger les informations dès leur collecte par les réglages initiaux : quelle distinction décrit ces deux démarches ?

La protection dès la conception concerne les incidents, tandis que la protection par défaut encadre les transferts de données
La protection dès la conception limite la durée de conservation, tandis que la protection par défaut organise l’information des personnes
La protection dès la conception intervient lors de la conception, tandis que la protection par défaut active les protections initiales
La protection dès la conception règle les paramètres initiaux, tandis que la protection par défaut intervient lors de la conception

La protection dès la conception intervient lors de la conception, tandis que la protection par défaut active les protections initiales

Explication

La protection dès la conception intègre les règles protectrices au moment où le traitement est conçu, tandis que la protection par défaut impose des protections activées par défaut. Régler les paramètres initiaux relève donc de la protection par défaut, et non de la conception.

38. Laquelle de ces listes rassemble des droits consacrés par les articles 13 à 22 du RGPD ?

Accès, confidentialité, limitation, rectification, chiffrement et portabilité
Accès, opposition, limitation, rectification, effacement et portabilité
Opposition, anonymisation, rectification, effacement, disponibilité et portabilité
Accès, pseudonymisation, opposition, limitation, intégrité et effacement

Accès, opposition, limitation, rectification, effacement et portabilité

Explication

Les droits concernés comprennent notamment l’accès, l’opposition, la limitation, la rectification, l’effacement et la portabilité. Le chiffrement et la pseudonymisation sont des mesures de sécurité, et non des droits individuels de cette liste.

39. Que permet d’obtenir une personne qui exerce son droit d’accès prévu à l’article 15 du RGPD ?

La modification des données et, le cas échéant, la justification de leur durée de conservation
La suppression des données traitées et, le cas échéant, leur transfert vers un autre responsable
La confirmation qu’un traitement a lieu ou non et, le cas échéant, l’accès à ses données sous une forme intelligible
La suspension du traitement pendant la vérification de l’exactitude des données concernées

La confirmation qu’un traitement a lieu ou non et, le cas échéant, l’accès à ses données sous une forme intelligible

Explication

Le droit d’accès permet de savoir si des données personnelles font l’objet d’un traitement et, si c’est le cas, d’accéder aux données sous une forme intelligible. La suspension du traitement peut relever du droit à la limitation, dans certaines situations.

40. Une personne s’oppose à un traitement fondé sur l’intérêt légitime, puis à un traitement de prospection : quelle règle distingue ces deux situations ?

L’opposition fondée sur l’intérêt légitime doit être justifiée, tandis que celle à la prospection peut être exercée sans justification et arrête le traitement
L’opposition fondée sur l’intérêt légitime arrête le traitement sans justification, tandis que celle à la prospection doit être justifiée
L’opposition aux deux traitements peut être exercée sans justification, mais n’entraîne pas l’arrêt du traitement
L’opposition aux deux traitements exige une justification et entraîne automatiquement leur arrêt

L’opposition fondée sur l’intérêt légitime doit être justifiée, tandis que celle à la prospection peut être exercée sans justification et arrête le traitement

Explication

Pour un traitement fondé sur l’intérêt légitime, le droit d’opposition peut être exercé à tout moment avec justification. En matière de prospection, l’opposition est discrétionnaire et entraîne l’arrêt du traitement, contrairement à l’exigence de justification proposée comme règle générale.

41. Une personne conteste l’exactitude de ses données pendant leur vérification : quel droit peut-elle demander au titre de l’article 18 du RGPD ?

La limitation du traitement pendant la vérification de l’exactitude des données
L’opposition définitive à tout traitement, sans lien avec le motif de la contestation
La portabilité des données vers un autre responsable pendant la vérification
L’effacement immédiat des données au seul motif qu’elles sont contestées

La limitation du traitement pendant la vérification de l’exactitude des données

Explication

L’article 18 permet de demander la limitation du traitement lorsque l’exactitude des données est contestée, notamment pendant leur vérification. La contestation ne donne pas, à elle seule, droit à leur effacement immédiat.

42. Une personne demande l’effacement de données qui permettent de l’identifier et qui ne sont plus nécessaires à leur finalité : quel principe s’applique ?

Le droit à l’effacement peut s’appliquer, sous réserve des exceptions prévues, notamment pour une mission d’intérêt public
Le droit à l’effacement transforme les données identifiantes en données anonymisées sans autre démarche
Le droit à l’effacement peut s’appliquer aux données identifiantes, sans exception liée à une obligation légale
Le droit à l’effacement ne s’applique qu’après que les données ont été transmises à un autre responsable

Le droit à l’effacement peut s’appliquer, sous réserve des exceptions prévues, notamment pour une mission d’intérêt public

Explication

L’article 17 permet notamment de demander l’effacement de données identifiantes devenues inutiles au regard de leur finalité, mais prévoit des exceptions. Une obligation légale ou une mission d’intérêt public peut notamment faire obstacle à l’effacement.

43. Une personne souhaite recevoir ses données dans un format structuré et lisible pour les transmettre à un autre responsable : que permet son droit à la portabilité ?

De recevoir ses données uniquement après que le premier responsable les a effacées
De demander au premier responsable de transférer ses données sans qu’elle puisse les recevoir
D’obtenir l’effacement des données chez le premier responsable sans transfert vers un autre
De recevoir et transmettre ses données sans obliger le premier responsable à les supprimer

De recevoir et transmettre ses données sans obliger le premier responsable à les supprimer

Explication

La portabilité permet à la personne de recevoir ses données dans un format structuré et lisible afin de les transmettre à un autre responsable. Contrairement au droit à l’effacement, elle n’oblige pas le premier responsable à supprimer les données.

44. Un dossier indique qu’une personne a reçu un traitement médical l’an dernier. Comment qualifier cette information ?

Comme une donnée administrative, car elle concerne une prestation déjà achevée
Comme une donnée de localisation, car elle situe la personne dans un parcours de soins
Comme une donnée de santé, car elle révèle un élément de l’état de santé passé de la personne
Comme une donnée d’identification, car elle désigne directement le professionnel consulté

Comme une donnée de santé, car elle révèle un élément de l’état de santé passé de la personne

Explication

Une information sur un soin reçu révèle l’état de santé passé de la personne et relève donc des données de santé. Une donnée de localisation indique où se trouve une personne, et non ce que révèle son parcours médical.

45. Un identifiant en ligne permet de reconnaître indirectement une personne physique : quelle est la qualification de l’information qui lui est rattachée ?

Une donnée collective, puisqu’un identifiant en ligne peut être partagé
Une donnée personnelle, puisqu’elle concerne une personne identifiable indirectement
Une donnée de santé, puisqu’un identifiant permet de distinguer son titulaire
Une donnée anonyme, puisqu’elle ne comporte pas le nom de la personne

Une donnée personnelle, puisqu’elle concerne une personne identifiable indirectement

Explication

Une donnée est personnelle dès lors qu’elle concerne une personne physique identifiable directement ou indirectement, notamment au moyen d’un identifiant en ligne. L’absence de nom ne rend pas l’information anonyme si la personne peut être reconnue indirectement.

46. Une organisation envisage de traiter des données de santé selon les règles ordinaires applicables aux données personnelles : quelle distinction doit-elle prendre en compte ?

Le traitement des données de santé est libre dès lors que les données concernent un état passé
Le traitement des données de santé suit le régime ordinaire de l’article 6, sans restriction supplémentaire
Le traitement des données de santé est en principe interdit, sous réserve d’exceptions, car elles sont sensibles
Le traitement des données de santé dépend uniquement de leur caractère directement identifiant

Le traitement des données de santé est en principe interdit, sous réserve d’exceptions, car elles sont sensibles

Explication

Les données de santé sont des données sensibles dont le traitement est en principe interdit, sauf exception. Le régime ordinaire des données personnelles peut reposer sur une base juridique de l’article 6, mais cette possibilité ne supprime pas la protection renforcée des données de santé.

Révisez avec les flashcards

Mémorisez les réponses avec 90 flashcards sur Protection des données personnelles.

Selon Suzanne Lequette, que désigne le numérique ?

Un champ d’innovations fondées sur le codage binaire électronique, qui transforme profondément les sociétés.

Qu’est-ce qui distingue le numérique de l’informatique ?

Le numérique encode l’information, tandis que l’informatique regroupe les technologies et calculs qui la traitent automatiquement.

Comment le codage binaire représente-t-il l’information ?

Par des 0 et des 1.

Voir les flashcards →

Approfondir avec la fiche

Consultez la fiche de révision complète sur Protection des données personnelles.

Voir la fiche →

Cours similaires

République, nation et cohésion

Droit Public

État et souveraineté

Droit Public

Service public et droit administratif

Droit Public

Définir le droit et ses sources

Droit commercial et commerçants

Fondements du droit administratif

Droit Public

Crée tes propres QCM

Importe ton cours et l'IA génère des QCM avec corrections en 30 secondes.

Générateur de QCM