Fiche de révision : Protection des données personnelles

📋 Plan du Cours

1. Données à caractère personnel
2. Origines de la protection française
3. Contrôles et sanctions de la CNIL
4. RGPD et obligations des organismes
5. Données sensibles et exceptions
6. Bases légales et registre des traitements
7. Droits des personnes concernées
8. Délégué à la protection des données
9. Information sur les traitements
10. IA Act et niveaux de risque

📅 Repères chronologiques

1. 1974Le journal Le Monde publie l’article « SAFARI ou la chasse aux Français », qui contribue à faire connaître les inquiétudes liées au projet.
2. 1978La loi Informatique et libertés est votée et donne notamment naissance à la CNIL.
3. 2018Une nouvelle loi Informatique et libertés prend en compte les dispositions du règlement européen RGPD.

📖 1. Données à caractère personnel

🔑 Notions clés & Définitions

• Donnée à caractère personnel : Information qui permet d’identifier une personne physique directement ou indirectement, même si l’identification n’est pas certaine.

★ À maîtriser

• Des informations qui ne permettent pas séparément d’identifier une personne sont des DCP si leur recoupement rend cette identification possible.

• Une donnée anonymisée qui ne permet plus d’identifier une personne ne constitue plus une DCP.

Compléments

• Le caractère personnel d’une donnée dépend de la possibilité d’identifier une personne, et non du fait que la donnée soit publiée en mode public ou privé.

💡 Astuce mémo

Identification directe ou indirecte : les deux relèvent des DCP.

📖 2. Origines de la protection française

📝 Points essentiels

• En 1973, le gouvernement envisage un fichier administratif national appelé SAFARI, destiné à rassembler des informations détenues par différentes administrations et à attribuer un identifiant unique à chaque Français.

• La loi Informatique et libertés vise à protéger les DCP et à assurer à chaque personne physique un accès aux données personnelles qui la concernent.

• La CNIL est l’autorité française chargée de veiller à ce que les personnes physiques gardent le contrôle sur leurs données à caractère personnel.

💡 Astuce mémo

SAFARI (1973) → scandale (1974) → loi et CNIL (1978).

📖 3. Contrôles et sanctions de la CNIL

★ À maîtriser

📌 La CNIL peut contrôler un organisme s’il possède un établissement en France ou s’il est situé hors de France et détient des DCP concernant des personnes résidant en France ; une seule de ces conditions suffit.

• La CNIL peut effectuer quatre types de contrôle :

  • un contrôle sur place
  • une audition sur convocation
  • un contrôle en ligne
  • un contrôle sur pièces

• 🔄 La chaîne répressive suit les étapes suivantes : déclenchement du contrôle, contrôle et rédaction d’un procès-verbal, clôture sans sanction ou mise en demeure en cas de manquements sérieux, sanction éventuelle

Compléments

• Lors d’un contrôle sur place, le procureur de la République territorialement compétent est informé de la date, de l’heure et de l’objet du contrôle 24 heures avant son début.

• La convocation à une audition doit parvenir à la personne contrôlée au moins 8 jours avant la date du contrôle.

• La mise en demeure laisse à l’organisme un délai de 6 à 12 mois pour corriger ses manquements et se conformer à la réglementation.

💡 Astuce mémo

Déclenchement → contrôle → procès-verbal → suites.

📖 4. RGPD et obligations des organismes

📝 Points essentiels

📌 Le RGPD s’applique aux organismes qui traitent des DCP de personnes résidant dans l’Union européenne, quel que soit le lieu où se trouve l’organisme ; il concerne notamment les administrations, entreprises, associations et sous-traitants.

• La CNIL peut prononcer une amende plafonnée à 20 millions d’euros ou à 4 % du chiffre d’affaires annuel mondial d’une entreprise ; le montant le plus élevé s’applique.

• Le RGPD impose notamment : le consentement libre, éclairé et univoque lorsqu’il est requis, la transparence des traitements, le respect des droits des personnes, la portabilité des données, la sécurisation des données dès la conception des outils

📌 Avant le RGPD, les organismes étaient soumis à une logique de formalités préalables auprès de la CNIL ; avec le RGPD, ils doivent mettre en œuvre et démontrer leur conformité.

💡 Astuce mémo

Avant : formalités préalables ; avec le RGPD : mise en conformité.

📖 5. Données sensibles et exceptions

🔑 Notions clés & Définitions

• Données sensibles : Données à caractère personnel susceptibles d’être utilisées contre une personne pour lui porter un préjudice grave ; elles comprennent les données relatives à l’origine raciale ou ethnique, aux opinions politiques, aux convictions religieuses ou philosophiques, à l’appartenance syndicale, à la génétique, à la biométrie, à la santé, à l’orientation sexuelle et à la vie sexuelle.

📝 Points essentiels

📌 Une information n’est une donnée sensible que si elle permet d’identifier la personne concernée et relève d’une catégorie sensible.

• Les exceptions citées à l’interdiction sont : le consentement exprès de la personne, la nécessité du traitement dans un but médical, la justification par l’intérêt public et l’autorisation de la CNIL, les données concernant les membres d’un organisme politique, religieux, syndical ou philosophique

📖 6. Bases légales et registre des traitements

★ À maîtriser

• Les six bases légales du traitement sont :

  • le consentement de la personne
  • l’exécution d’un contrat
  • le respect d’une obligation légale
  • la sauvegarde des intérêts vitaux de la personne ou d’un tiers
  • l’accomplissement d’une mission d’intérêt public
  • les intérêts légitimes du responsable du traitement ou d’un tiers

• Le registre des activités de traitement prévu par l’article 30 du RGPD sert à documenter les traitements et à prouver leur conformité ; le responsable du traitement et le sous-traitant doivent tenir un registre relevant de leurs activités.

Compléments

• Le registre indique notamment : l’identité et les coordonnées du responsable du traitement, les finalités du traitement, les catégories de personnes concernées et de données personnelles, les catégories de destinataires, les transferts éventuels vers des pays tiers, les délais prévus pour l’effacement, les mesures générales de sécurité

📖 7. Droits des personnes concernées

★ À maîtriser

• Le droit d’accès permet de demander à un organisme de communiquer le contenu des données personnelles qu’il détient sur la personne concernée.

• Le droit de rectification permet de demander la modification de données erronées, et le droit à l’effacement permet d’en demander la suppression.

📌 Le droit à la limitation permet de geler l’utilisation des données tout en les conservant, tandis que le droit d’opposition vise à empêcher leur utilisation lorsque le fichier n’est pas obligatoire.

• Le droit à la portabilité permet d’obtenir une copie des DCP dans un format réutilisable et, dans certains cas, d’en demander la transmission à un autre organisme.

Compléments

• Le droit de vérification permet de demander à un organisme s’il détient des données sur une personne et, le cas échéant, d’en communiquer le contenu.

• Le droit au déférencement permet de demander à un moteur de recherche de ne plus associer l’identité d’une personne à un contenu préjudiciable dans les résultats de nouvelles recherches.

📖 8. Délégué à la protection des données

🔑 Notions clés & Définitions

• Délégué à la protection des données : Personne référente d’un organisme en matière de réglementation sur la protection des données à caractère personnel.

★ À maîtriser

• Le DPO conseille l’organisme, contrôle notamment la conformité des traitements au RGPD et sert d’intermédiaire entre l’organisme, la CNIL, le juge et les personnes concernées.

• La désignation d’un DPO est obligatoire pour : les autorités et organismes publics, les organismes privés assurant un suivi régulier et systématique des personnes à grande échelle, les organismes privés traitant à grande échelle des données sensibles ou relatives à des condamnations pénales

Compléments

📌 Le DPO peut être un salarié, un prestataire externe ou un délégué mutualisé, mais les dirigeants et responsables métiers ne peuvent pas être désignés afin d’éviter les conflits d’intérêts.

📖 9. Information sur les traitements

★ À maîtriser

• L’organisme doit notamment communiquer : l’identité du responsable du traitement, les finalités et les intérêts légitimes poursuivis, les destinataires des données, les transferts éventuels vers un pays tiers, la durée de conservation, les droits de la personne, le droit de retirer son consentement et le droit de saisir la CNIL, l’existence éventuelle d’une décision automatisée

Compléments

📌 Lorsque les données sont collectées indirectement, l’organisme doit aussi indiquer les catégories de données concernées et l’identité de leur source.

• En cas de collecte directe fondée sur le consentement, l’organisme doit informer la personne des conséquences d’un refus de donner son consentement.

📖 10. IA Act et niveaux de risque

★ À maîtriser

• L’IA Act a été adopté par l’Union européenne le 13 mars 2024 et entre en vigueur progressivement depuis 2024 jusqu’à 2030.

📌 L’IA Act concerne les organismes qui proposent un système d’intelligence artificielle à des personnes situées dans l’Union européenne, quel que soit le lieu d’établissement de l’organisme.

• Les niveaux de risque sont :

  • minimal
  • limité
  • haut
  • inacceptable

• Les systèmes d’IA à risque inacceptable, comme la notation sociale et la surveillance biométrique de masse, sont interdits.

Compléments

• Les systèmes à risque limité, comme les chatbots et les générateurs de contenus, doivent informer l’utilisateur qu’il interagit avec une IA.

• Les obligations des systèmes à haut risque comprennent :

  • la documentation sur l’algorithme
  • les tests
  • la supervision humaine
  • la transparence

💡 Astuce mémo

Risque minimal → limité → haut → inacceptable : les contraintes augmentent.

📊 Tableaux de synthèse

Droits des personnes sur leurs données