Le 25 mai 2018
Explication
Le RGPD est entré en vigueur le 25 mai 2018 afin d’harmoniser la protection des données dans l’Union européenne et de renforcer les droits des personnes. Le 6 janvier 1978 correspond à la loi française Informatique et Libertés, tandis que le 27 avril 2016 correspond à la directive Police-Justice.
Accès, rectification, effacement, opposition, limitation et portabilité
Explication
Le RGPD garantit notamment les droits d’accès, de rectification, d’effacement, d’opposition, de limitation du traitement et de portabilité. Les autres ensembles regroupent des opérations ou des notions de gestion des données, mais pas une liste de droits des personnes.
Il traite les données pour le compte du responsable et selon ses instructions.
Explication
Le sous-traitant exécute le traitement pour le compte du responsable du traitement et conformément à ses instructions. La détermination des finalités relève du responsable, et non du sous-traitant agissant dans ce cadre.
La loi Informatique et Libertés
Explication
La loi française du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés encadre la collecte et l’utilisation des données personnelles. Le RGPD est un règlement européen, tandis que la directive Police-Justice relève d’un autre cadre juridique.
Une adresse IP associée à une personne identifiable
Explication
Une donnée personnelle est une information permettant d’identifier directement ou indirectement une personne physique, ce qui peut être le cas d’une adresse IP. Les autres éléments décrivent des données agrégées ou générales ne visant pas une personne identifiable.
Dans les 72 heures suivant sa découverte
Explication
Une violation de données présentant un risque doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures. Attendre une échéance administrative ou la fin d’une enquête interne ne respecte pas cette exigence de rapidité.
Jusqu’à cinq ans d’emprisonnement et 300 000 euros d’amende.
Explication
Pour certaines infractions graves, une personne physique peut encourir jusqu’à cinq ans d’emprisonnement et 300 000 euros d’amende. L’amende pouvant atteindre 1 500 000 euros concerne la personne morale, et non la personne physique.
Lorsqu’il bénéficie d’une décision d’adéquation ou de garanties appropriées.
Explication
Un transfert hors de l’Union européenne exige un niveau de protection suffisant, fondé notamment sur une décision d’adéquation ou sur des garanties appropriées comme les clauses contractuelles types. La notoriété du destinataire ou la nature professionnelle des données ne remplace pas ces exigences.
Pour une autorité publique, hors juridiction exerçant ses fonctions judiciaires
Explication
La désignation est obligatoire pour les autorités ou organismes publics, à l’exception des juridictions dans leurs fonctions judiciaires, ainsi que dans certains traitements à grande échelle. Elle ne constitue donc pas une obligation générale applicable à toutes les entreprises privées.
L’entité qui détermine les finalités et les moyens du traitement
Explication
Le responsable de traitement décide de la création du traitement ainsi que de ses finalités ou de ses moyens. Le prestataire qui agit selon les instructions de l’organisation intervient plutôt comme sous-traitant.
Elle correspond au montant le plus élevé entre 20 millions d’euros et 4 % du chiffre d’affaires annuel mondial.
Explication
La CNIL peut retenir le montant le plus élevé entre 20 millions d’euros et 4 % du chiffre d’affaires annuel mondial. Il ne s’agit donc ni d’une somme fixe ni d’une addition des deux montants.
Veiller à l’application cohérente du RGPD et favoriser la coopération entre autorités nationales
Explication
Le Comité européen veille à l’application cohérente du RGPD, adopte des lignes directrices, favorise la coopération et règle certains désaccords entre autorités. Il ne remplace pas les autorités nationales pour le contrôle quotidien et les sanctions nationales.
Il doit supprimer ou restituer les données selon les modalités prévues.
Explication
À la fin du contrat, le sous-traitant doit supprimer ou restituer les données, tout en ayant aussi des obligations de sécurité, de confidentialité et de signalement des violations. La fin de la relation contractuelle ne l’autorise pas à conserver les données pour ses propres objectifs.
Définir des objectifs précis, explicites et légitimes pour la collecte
Explication
Le principe de finalité exige que les données soient collectées pour des objectifs précis, explicites et légitimes. La réduction du volume relève plutôt de la minimisation, tandis que la portabilité est un droit de la personne.
Se mettre en conformité et pouvoir en apporter la preuve
Explication
La responsabilisation oblige les acteurs à respecter le RGPD et à être capables de démontrer cette conformité. Elle ne se réduit pas à une autorisation préalable ni à une délégation de la responsabilité à un prestataire.
Ne recueillir que les données adéquates, pertinentes et nécessaires à cet envoi
Explication
La minimisation impose de limiter la collecte aux données adéquates, pertinentes et nécessaires à l’objectif poursuivi, ce qui exclut ici les informations sans utilité pour l’envoi. Définir la raison de la collecte relève du principe de finalité, et non de la minimisation.
Lorsqu’une organisation vise des personnes situées dans l’Union européenne
Explication
Le RGPD s’applique notamment lorsqu’une organisation établie hors de l’Union européenne vise des personnes qui s’y trouvent, y compris pour des traitements informatisés ou non. Les activités personnelles et certains traitements pénaux font partie des exceptions prévues.
Elle est loyale, licite et transparente envers la personne concernée.
Explication
Une collecte conforme doit être loyale, licite et transparente : la personne ne doit pas être trompée, une base légale doit exister et les usages doivent être expliqués clairement. Une simple information générale ne suffit pas si elle ne précise pas quelles données sont utilisées et pourquoi.
Protéger les données, contrôler le RGPD, conseiller le public et sanctionner les manquements
Explication
La CNIL est l’autorité administrative indépendante française chargée de protéger les données, de contrôler l’application du RGPD, d’informer et de conseiller, puis de sanctionner les manquements. Le Comité européen de la protection des données assure plutôt la cohérence de l’application du RGPD à l’échelle de l’Union.
Consulter un fichier papier contenant des coordonnées
Explication
Le traitement comprend toute opération effectuée sur des données personnelles, y compris leur consultation, et peut être réalisé avec ou sans outil informatique. Définir un budget ou acheter du mobilier ne constitue pas, en soi, une opération portant sur de telles données.
Les données relatives à l’état de santé d’une personne.
Explication
Les données de santé font partie des catégories particulières, au même titre que les opinions politiques, les convictions religieuses, les données génétiques ou biométriques. Des coordonnées professionnelles ou des informations logistiques ne relèvent pas, par leur nature, de cette catégorie.
Conseiller l’organisme, contrôler le respect du RGPD et coopérer avec la CNIL
Explication
Le DPO conseille et informe l’organisme, contrôle le respect du RGPD, sensibilise les acteurs et coopère avec la CNIL. La décision de sanction appartient à l’autorité de contrôle compétente, et non au DPO.
Mémorisez les réponses avec 44 flashcards sur Protection des données personnelles.
Qu'est-ce qu'une donnée personnelle ?
Toute information permettant d’identifier directement ou indirectement une personne physique.
Quels exemples illustrent les données personnelles ?
Nom, coordonnées bancaires, numéro de sécurité sociale, adresse IP.
Qu'appelle-t-on traitement des données personnelles ?
Toute opération effectuée sur ces données, informatisée ou non.
Consultez la fiche de révision complète sur Protection des données personnelles.
Voir la fiche →Importe ton cours et l'IA génère des QCM avec corrections en 30 secondes.
Générateur de QCM