QCM : Protection des données personnelles (32 questions)

Questions et réponses du QCM

1. Qu’est-ce qui caractérise une donnée à caractère personnel ?

Une information permettant d’identifier directement ou indirectement une personne physique, même si cette identification reste incertaine
Une information qui identifie directement une personne physique, mais pas celle qui permet de l’identifier indirectement
Une information permettant d’identifier une personne morale, même si aucune personne physique n’est concernée
Une information dont l’identification d’une personne physique est certaine et immédiate

Une information permettant d’identifier directement ou indirectement une personne physique, même si cette identification reste incertaine

Explication

Une donnée est personnelle dès lors qu’elle permet d’identifier une personne physique, directement ou indirectement, même si cette identification n’est pas certaine. La possibilité d’identification indirecte suffit donc, contrairement à l’idée qu’une identification immédiate serait nécessaire.

2. Deux renseignements pris séparément ne révèlent pas l’identité d’une personne, mais leur combinaison permet de la retrouver : quel est leur statut ?

Ils deviennent des données personnelles seulement si la personne concernée confirme son identité
Ils sont des données personnelles uniquement si leur combinaison contient un nom ou un prénom
Ils constituent des données personnelles, car leur recoupement rend l’identification possible
Ils restent des données non personnelles, car chacun est insuffisant lorsqu’il est considéré isolément

Ils constituent des données personnelles, car leur recoupement rend l’identification possible

Explication

Le recoupement de renseignements peut rendre une personne identifiable et faire de ces renseignements des données personnelles. Leur insuffisance prise séparément ne permet donc pas de conclure qu’ils ne sont pas personnels.

3. Une base a été anonymisée de manière à ce qu’aucune personne ne puisse être identifiée : comment qualifier les informations qu’elle contient ?

Elles deviennent des données personnelles dès qu’elles sont utilisées à des fins statistiques
Elles restent des données à caractère personnel, car elles proviennent de personnes physiques
Elles sont des données personnelles si leur accès est réservé à un organisme
Elles ne constituent plus des données à caractère personnel

Elles ne constituent plus des données à caractère personnel

Explication

Une donnée anonymisée qui ne permet plus d’identifier une personne ne relève plus des données à caractère personnel. Le fait qu’elle provienne initialement d’informations personnelles ne suffit pas à maintenir cette qualification.

4. Quel projet administratif le gouvernement envisage-t-il en 1973 sous le nom de SAFARI ?

Un système communal de recensement, conçu pour remplacer les fichiers détenus par les administrations
Un registre national limité aux infractions, destiné à attribuer un identifiant aux seuls agents publics
Un fichier national réunissant des informations de plusieurs administrations et attribuant un identifiant unique à chaque Français
Un répertoire national des entreprises, visant à relier leurs dirigeants à un identifiant fiscal commun

Un fichier national réunissant des informations de plusieurs administrations et attribuant un identifiant unique à chaque Français

Explication

Le projet SAFARI envisageait de rassembler dans un fichier administratif national des informations détenues par différentes administrations et d’attribuer un identifiant unique à chaque Français. Il ne s’agissait pas d’un registre limité aux infractions ou aux agents publics.

5. Quel événement législatif marque l’année 1978 dans l’histoire de la protection française des données ?

La publication de l’article « SAFARI ou la chasse aux Français », qui crée la CNIL
Le vote de la loi Informatique et libertés, qui donne notamment naissance à la CNIL
La création d’un identifiant administratif unique par une loi consacrée aux entreprises
La mise en œuvre du fichier SAFARI, qui établit les droits d’accès aux données personnelles

Le vote de la loi Informatique et libertés, qui donne notamment naissance à la CNIL

Explication

La loi Informatique et libertés est votée en 1978 et donne notamment naissance à la CNIL. L’article dénonçant les inquiétudes liées au projet SAFARI a été publié en 1974, et non en 1978.

6. Quel double objectif la loi Informatique et libertés poursuit-elle à l’égard des personnes physiques ?

Protéger leurs données personnelles et leur assurer un accès aux données qui les concernent
Contrôler les organismes privés et leur garantir un accès aux fichiers de l’État
Centraliser leurs informations administratives et leur attribuer un identifiant national
Autoriser la diffusion publique de leurs données et réserver leur consultation aux administrations

Protéger leurs données personnelles et leur assurer un accès aux données qui les concernent

Explication

La loi vise à protéger les données à caractère personnel et à assurer à chaque personne physique l’accès aux données personnelles qui la concernent. La centralisation des informations et l’attribution d’un identifiant unique correspondent plutôt au projet SAFARI.

7. Quel rôle la CNIL exerce-t-elle pour les personnes physiques en France ?

Attribuer à chacune un identifiant unique partagé entre les administrations
Gérer directement l’ensemble des fichiers contenant des données personnelles
Décider quelles informations personnelles doivent être publiées par les organismes
Veiller à ce qu’elles gardent le contrôle sur leurs données à caractère personnel

Veiller à ce qu’elles gardent le contrôle sur leurs données à caractère personnel

Explication

La CNIL est l’autorité française chargée de veiller à ce que les personnes physiques gardent le contrôle sur leurs données personnelles. Elle ne gère pas directement tous les fichiers concernés et n’attribue pas d’identifiant unique à chaque personne.

8. Un organisme situé hors de France détient des données personnelles concernant des personnes qui résident en France : la CNIL peut-elle le contrôler ?

Non, car la CNIL ne contrôle que les organismes établis sur le territoire français
Non, un organisme doit toujours posséder un établissement en France pour relever de la CNIL
Oui, mais seulement si les personnes concernées ont également la nationalité française
Oui, la résidence en France des personnes concernées suffit pour un organisme situé à l’étranger

Oui, la résidence en France des personnes concernées suffit pour un organisme situé à l’étranger

Explication

Pour un organisme situé à l’étranger, la détention de données concernant des personnes résidant en France permet à la CNIL d’intervenir. L’exigence d’un établissement en France constitue une autre condition, applicable à elle seule aux organismes qui en possèdent un.

9. Quel ensemble de modalités la CNIL peut-elle utiliser pour effectuer un contrôle ?

Une inspection judiciaire, une audition publique, une perquisition et un interrogatoire sous serment
Un contrôle sur place, une consultation citoyenne, un audit financier ou une médiation obligatoire
Un contrôle sur place, une audition sur convocation, un contrôle en ligne ou un contrôle sur pièces
Une audition spontanée, une enquête téléphonique, un contrôle parlementaire ou une vérification notariale

Un contrôle sur place, une audition sur convocation, un contrôle en ligne ou un contrôle sur pièces

Explication

Les modalités de contrôle comprennent le contrôle sur place, l’audition sur convocation, le contrôle en ligne et le contrôle sur pièces. Une perquisition ou un interrogatoire sous serment ne figurent pas parmi les modalités énumérées.

10. Après la rédaction d’un procès-verbal, que peut-il se passer si le contrôle révèle des manquements sérieux ?

Le dossier est clôturé sans sanction, même si les manquements constatés sont sérieux
Une sanction est prononcée avant la rédaction du procès-verbal, sans mise en demeure possible
Le contrôle est relancé par un nouvel organisme avant toute décision sur les manquements
Une mise en demeure peut être prononcée, puis une sanction peut éventuellement suivre

Une mise en demeure peut être prononcée, puis une sanction peut éventuellement suivre

Explication

Après le contrôle et la rédaction du procès-verbal, des manquements sérieux peuvent entraîner une mise en demeure, puis éventuellement une sanction. Une clôture sans sanction correspond à une autre issue, notamment lorsque les manquements ne sont pas sérieux.

11. Quelle évolution législative française, datée de 2018, prend en compte les dispositions du RGPD ?

Une nouvelle loi sur la sécurité des réseaux
Une nouvelle loi sur les services numériques
Une nouvelle loi sur les archives publiques
Une nouvelle loi Informatique et libertés

Une nouvelle loi Informatique et libertés

Explication

En 2018, une nouvelle loi Informatique et libertés a intégré les dispositions du règlement européen RGPD. Les textes sur les réseaux ou les archives ne correspondent pas à l’évolution législative décrite.

12. Une entreprise établie hors de l’Union européenne traite les données personnelles de personnes qui y résident : pourquoi le RGPD peut-il s’appliquer à ses activités ?

Parce que l’application dépend de la résidence des personnes concernées
Parce que toute entreprise internationale relève du droit européen
Parce que l’application dépend du lieu où ses serveurs sont hébergés
Parce que les entreprises étrangères doivent avoir une filiale européenne

Parce que l’application dépend de la résidence des personnes concernées

Explication

Le RGPD peut s’appliquer à un organisme situé hors de l’Union européenne lorsqu’il traite les données personnelles de personnes qui y résident. Le lieu d’établissement de l’organisme, à lui seul, ne détermine donc pas son application.

13. Pour une entreprise, quel plafond d’amende la CNIL peut-elle appliquer en vertu du RGPD ?

Un plafond fixé à 4 % du chiffre d’affaires réalisé dans le pays où l’entreprise est établie
Le montant le plus élevé entre 20 millions d’euros et 4 % du chiffre d’affaires annuel mondial
Le montant le plus faible entre 20 millions d’euros et 4 % du chiffre d’affaires annuel mondial
Un plafond de 20 millions d’euros, auquel s’ajoute 4 % du chiffre d’affaires annuel mondial

Le montant le plus élevé entre 20 millions d’euros et 4 % du chiffre d’affaires annuel mondial

Explication

Le plafond correspond au montant le plus élevé entre 20 millions d’euros et 4 % du chiffre d’affaires annuel mondial de l’entreprise. Retenir le montant le plus faible inverserait la règle applicable.

14. Quelle différence caractérise le régime du RGPD par rapport au régime antérieur concernant la conformité des organismes ?

Le RGPD exige de mettre en œuvre et de démontrer la conformité, tandis que l’ancien régime reposait sur des formalités préalables auprès de la CNIL
Le RGPD transfère la vérification de conformité aux personnes concernées, tandis que l’ancien régime la confiait aux sous-traitants
Le RGPD repose sur des formalités préalables auprès de la CNIL, tandis que l’ancien régime exigeait de démontrer la conformité
Le RGPD remplace la conformité par des audits périodiques, tandis que l’ancien régime reposait sur des déclarations internes

Le RGPD exige de mettre en œuvre et de démontrer la conformité, tandis que l’ancien régime reposait sur des formalités préalables auprès de la CNIL

Explication

Avec le RGPD, les organismes doivent mettre en œuvre leur conformité et pouvoir la démontrer. Les formalités préalables auprès de la CNIL caractérisaient l’ancien régime, et non le régime du RGPD.

15. Laquelle de ces informations correspond à une catégorie de données sensibles lorsqu’elle concerne une personne identifiable ?

Une donnée d’achat indiquant le type de produit qu’elle a commandé
Une donnée de localisation indiquant la commune où elle réside
Une donnée biométrique permettant d’identifier cette personne
Une donnée de contact indiquant son adresse électronique professionnelle

Une donnée biométrique permettant d’identifier cette personne

Explication

Les données biométriques font partie des catégories sensibles lorsqu’elles se rapportent à une personne identifiable. Une information de localisation, de contact ou d’achat n’est pas, par sa seule nature, l’une des catégories sensibles énumérées.

16. Une information révèle les convictions religieuses d’une personne, mais ne permet pas de l’identifier : comment la qualifier au regard de la définition d’une donnée sensible ?

Elle ne constitue pas une donnée sensible si la personne concernée n’est pas identifiable
Elle constitue une donnée sensible si elle est conservée dans un fichier numérique
Elle constitue une donnée sensible dès qu’elle révèle une conviction religieuse
Elle devient une donnée sensible dès qu’elle est transmise à un organisme

Elle ne constitue pas une donnée sensible si la personne concernée n’est pas identifiable

Explication

Une information doit permettre d’identifier la personne concernée et relever d’une catégorie sensible pour être qualifiée de donnée sensible. Le fait de révéler une conviction religieuse ne suffit donc pas lorsque la personne ne peut pas être identifiée.

17. Une association syndicale traite les données de ses membres dans le cadre de ses activités : quelle situation fait partie des exceptions à l’interdiction de collecter et d’utiliser des données sensibles ?

Les données concernent les membres de l’organisme syndical
Les données sont conservées dans un système informatique sécurisé
Les données sont recueillies à l’occasion d’un paiement en ligne
Les données sont transmises à un prestataire établi dans le pays

Les données concernent les membres de l’organisme syndical

Explication

Une exception est prévue lorsque les données concernent les membres d’un organisme politique, religieux, syndical ou philosophique. La sécurisation informatique ne constitue pas, à elle seule, une exception autorisant le traitement de données sensibles.

18. Une entreprise doit traiter des données personnelles pour exécuter un contrat avec un client, mais n’a pas obtenu son consentement : quelle base peut autoriser le traitement ?

La mission d’intérêt public
Le consentement de la personne
L’exécution du contrat
La sauvegarde des intérêts vitaux

L’exécution du contrat

Explication

L’exécution d’un contrat est l’une des bases légales permettant un traitement sans consentement lorsque les conditions correspondantes sont réunies. Le consentement est une autre base possible, mais il n’a pas été obtenu dans cette situation.

19. À quoi sert principalement le registre des activités de traitement prévu par l’article 30 du RGPD ?

À obtenir l’autorisation préalable de la CNIL pour chaque traitement
À remplacer les mesures de sécurité appliquées aux données personnelles
À documenter les traitements et à prouver leur conformité
À recueillir le consentement des personnes concernées par les traitements

À documenter les traitements et à prouver leur conformité

Explication

Le registre documente les activités de traitement et contribue à démontrer la conformité de l’organisme. Il ne remplace ni le consentement lorsqu’il est requis ni les mesures de sécurité.

20. Une personne souhaite connaître le contenu des données personnelles qu’un organisme détient à son sujet. Quel droit peut-elle exercer ?

Le droit à la portabilité, qui permet de vérifier l’existence des données détenues
Le droit d’accès, qui permet d’obtenir le contenu des données détenues
Le droit de vérification, qui permet de connaître le contenu des données détenues
Le droit de rectification, qui permet d’obtenir une copie des données détenues

Le droit d’accès, qui permet d’obtenir le contenu des données détenues

Explication

Le droit d’accès permet de demander à l’organisme de communiquer le contenu des données personnelles qu’il détient. Le droit de vérification porte d’abord sur l’existence de données détenues, ce qui ne répond pas directement à la demande de connaître leur contenu.

21. Une personne repère une erreur dans ses données personnelles et souhaite ensuite faire supprimer certaines données. Quels droits correspondent à ces deux demandes ?

Le droit à l’effacement pour corriger l’erreur, puis le droit de rectification pour demander la suppression
Le droit de vérification pour corriger l’erreur, puis le droit d’accès pour demander la suppression
Le droit à la limitation pour corriger l’erreur, puis le droit d’opposition pour demander la suppression
Le droit de rectification pour corriger l’erreur, puis le droit à l’effacement pour demander la suppression

Le droit de rectification pour corriger l’erreur, puis le droit à l’effacement pour demander la suppression

Explication

La rectification permet de demander la modification de données erronées, tandis que l’effacement permet d’en demander la suppression. La limitation concerne le gel de l’utilisation des données, et non la correction d’une erreur.

22. Un organisme conserve les données d’une personne mais en gèle l’utilisation. De quel droit s’agit-il, par opposition au droit qui vise à empêcher leur utilisation lorsque le fichier n’est pas obligatoire ?

Du droit à la limitation pour le gel, et du droit d’opposition pour empêcher l’utilisation
Du droit d’accès pour le gel, et du droit à la portabilité pour empêcher l’utilisation
Du droit d’opposition pour le gel, et du droit à la limitation pour empêcher l’utilisation
Du droit à l’effacement pour le gel, et du droit de rectification pour empêcher l’utilisation

Du droit à la limitation pour le gel, et du droit d’opposition pour empêcher l’utilisation

Explication

La limitation permet de geler l’utilisation des données tout en les conservant, alors que l’opposition vise à empêcher leur utilisation lorsque le fichier n’est pas obligatoire. L’effacement, contrairement à la limitation, consiste à demander la suppression des données.

23. Une personne veut obtenir ses données personnelles dans un format réutilisable et, si les conditions le permettent, les faire transmettre à un autre organisme. Quel droit correspond à cette démarche ?

Le droit d’accès
Le droit de rectification
Le droit à la portabilité
Le droit au déférencement

Le droit à la portabilité

Explication

La portabilité permet d’obtenir une copie des données dans un format réutilisable et, dans certains cas, d’en demander la transmission à un autre organisme. Le droit d’accès porte sur la communication du contenu détenu, sans viser spécifiquement ce format réutilisable ni ce transfert.

24. Quel rôle caractérise le délégué à la protection des données au sein d’un organisme ?

Il représente les personnes concernées dans leurs demandes individuelles auprès de l’organisme
Il définit les traitements de données que l’organisme met en œuvre
Il décide des finalités et des moyens de chaque traitement de données personnelles
Il est la personne référente pour les questions de réglementation sur la protection des données personnelles

Il est la personne référente pour les questions de réglementation sur la protection des données personnelles

Explication

Le DPD ou DPO est la personne référente de l’organisme en matière de réglementation sur la protection des données personnelles. La définition des traitements relève du responsable du traitement, et non du rôle de référent du DPO.

25. Quelle combinaison décrit les fonctions du DPO dans ses relations avec l’organisme et les acteurs concernés ?

Il reçoit les plaintes, tranche les litiges et impose les sanctions aux organismes concernés
Il définit les finalités des traitements, approuve chaque collecte et remplace l’autorité de contrôle
Il conseille l’organisme, contrôle la conformité des traitements et sert d’intermédiaire avec les acteurs concernés
Il conduit les traitements, conserve les données et informe les personnes à la place de l’organisme

Il conseille l’organisme, contrôle la conformité des traitements et sert d’intermédiaire avec les acteurs concernés

Explication

Le DPO conseille l’organisme, contrôle notamment la conformité au RGPD et sert d’intermédiaire entre l’organisme, la CNIL, le juge et les personnes concernées. Définir les finalités des traitements relève du responsable du traitement, et non du rôle de conseil et de contrôle du DPO.

26. Une organisation privée suit régulièrement et systématiquement des personnes à grande échelle. Quelle conséquence cette situation entraîne-t-elle concernant le DPO ?

La désignation d’un DPO est requise seulement si l’organisation est publique
La désignation d’un DPO dépend du consentement des personnes suivies
La désignation d’un DPO est obligatoire
La désignation d’un DPO est laissée au choix de l’organisation

La désignation d’un DPO est obligatoire

Explication

Le suivi régulier et systématique de personnes à grande échelle par un organisme privé rend obligatoire la désignation d’un DPO. Le caractère privé de l’organisme ne dispense pas de cette obligation lorsque ce critère est rempli.

27. Lorsqu’un organisme informe une personne sur un traitement de ses données, quelle information doit figurer parmi les éléments communiqués ?

L’identité du responsable, les finalités, les destinataires, la durée de conservation et les droits de la personne
Les coordonnées de tous les sous-traitants potentiels, même s’ils ne reçoivent pas les données
Le nom de chaque salarié ayant consulté les données, le lieu de chaque consultation et son motif
Le détail de chaque opération technique réalisée sur les données depuis leur collecte

L’identité du responsable, les finalités, les destinataires, la durée de conservation et les droits de la personne

Explication

L’information comprend notamment l’identité du responsable du traitement, ses finalités, les destinataires, la durée de conservation et les droits de la personne, ainsi que plusieurs autres éléments requis. Le détail de chaque opération technique n’appartient pas à la liste des informations à communiquer indiquée ici.

28. Un organisme obtient des données personnelles auprès d’une source autre que la personne concernée. Quelles informations supplémentaires doit-il communiquer au sujet de ces données ?

Les catégories de données concernées et l’identité de leur source
Les conséquences d’un refus de consentement et la durée de conservation
Les finalités du traitement et l’identité du responsable, à la place des autres informations
Les coordonnées de chaque personne ayant transmis les données et leur motif

Les catégories de données concernées et l’identité de leur source

Explication

En cas de collecte indirecte, l’organisme doit indiquer les catégories de données concernées et l’identité de leur source. Les conséquences d’un refus de consentement sont une information requise dans le contexte particulier d’une collecte directe fondée sur le consentement.

29. Quand l’Union européenne a-t-elle adopté l’IA Act, et sur quelle période son entrée en vigueur est-elle progressive ?

Le 13 mars 2025, avec une entrée en vigueur progressive de 2025 à 2030
Le 13 mars 2024, avec une entrée en vigueur complète dès 2025
Le 13 mars 2024, avec une entrée en vigueur progressive de 2024 à 2030
Le 13 mars 2023, avec une entrée en vigueur progressive de 2023 à 2028

Le 13 mars 2024, avec une entrée en vigueur progressive de 2024 à 2030

Explication

L’IA Act a été adopté le 13 mars 2024 et son entrée en vigueur s’échelonne progressivement jusqu’en 2030. L’adoption en 2024 ne signifie pas que toutes ses dispositions sont entrées en vigueur immédiatement.

30. Une entreprise établie hors de l’Union européenne propose son système d’IA à des personnes situées dans l’Union. Quel critère détermine si l’IA Act la concerne ?

Le lieu où l’entreprise a enregistré son siège social
La nationalité des concepteurs du système d’intelligence artificielle
La mise à disposition du système à des personnes dans l’Union européenne
Le lieu où les données d’entraînement ont été collectées

La mise à disposition du système à des personnes dans l’Union européenne

Explication

L’application de l’IA Act dépend notamment du fait que le système soit proposé à des personnes situées dans l’Union européenne, quel que soit le lieu d’établissement de l’organisme. Le siège social hors de l’Union ne suffit donc pas à écarter cette application.

31. Quels niveaux de risque l’IA Act distingue-t-il pour les systèmes d’intelligence artificielle ?

Faible, modéré, élevé et interdit
Minimal, limité, haut et inacceptable
Minimal, modéré, critique et inacceptable
Limité, important, élevé et prohibé

Minimal, limité, haut et inacceptable

Explication

La classification distingue quatre niveaux : minimal, limité, haut et inacceptable. « Faible, modéré, élevé et interdit » ne reprend pas les catégories retenues dans cette classification.

32. Comment l’IA Act traite-t-il les systèmes à risque inacceptable, tels que la notation sociale ou la surveillance biométrique de masse ?

Il les autorise sous réserve d’une supervision humaine renforcée
Il les soumet aux obligations de documentation applicables au haut risque
Il les interdit en raison de leur niveau de risque
Il impose aux fournisseurs d’informer les utilisateurs qu’ils interagissent avec une IA

Il les interdit en raison de leur niveau de risque

Explication

Les systèmes classés à risque inacceptable, notamment la notation sociale et la surveillance biométrique de masse, sont interdits. Les obligations de documentation et de supervision humaine concernent les systèmes à haut risque, et non cette catégorie.

Révisez avec les flashcards

Mémorisez les réponses avec 66 flashcards sur Protection des données personnelles.

Qu’est-ce qu’une donnée à caractère personnel ?

Une information permettant d’identifier directement ou indirectement une personne physique, même si cette identification n’est pas certaine.

Quand des informations non identifiantes séparément deviennent-elles des DCP ?

Lorsque leur recoupement permet d’identifier une personne.

Quel est le statut d’une donnée anonymisée qui ne permet plus d’identifier une personne ?

Elle ne constitue plus une DCP.

Voir les flashcards →

Approfondir avec la fiche

Consultez la fiche de révision complète sur Protection des données personnelles.

Voir la fiche →

Cours similaires

L’État et ses fondements

Droit Public

Ordre juridique et preuve en droit

Cadre juridique immobilier et veille

Classification et sources du droit des sociétés

Formation et validité du contrat

Droit Civil

Droit des biens et classifications

Droit Civil

Crée tes propres QCM

Importe ton cours et l'IA génère des QCM avec corrections en 30 secondes.

Générateur de QCM