QCM : Données sensibles en sciences du sport (27 questions)

Explication

La qualification repose sur la finalité de la collecte, son caractère interventionnel, la nature et le statut des données, ainsi que leurs modalités de stockage et de diffusion. Une collecte interne pour un club ne se confond donc pas avec une recherche destinée à une publication scientifique.

Explication

Toute collecte impliquant des participants doit prévoir une information et un consentement éclairé, ou une procédure de non-opposition, tout en protégeant les données personnelles. L’accord d’un club ne remplace pas les garanties dues aux participants.

Explication

Le Code de Nuremberg de 1947 identifie le consentement éclairé comme un principe central de l’expérimentation humaine. La protection des bases de données relève d’une problématique différente, notamment liée aux règles de protection des données.

Explication

La Déclaration d’Helsinki a été élaborée par l’Association médicale mondiale en 1964 et révisée à plusieurs reprises. Elle énonce des principes éthiques applicables à la recherche impliquant des êtres humains.

Explication

La loi Jardé encadre en France les recherches impliquant la personne humaine, en distinguant notamment les recherches interventionnelles et non interventionnelles selon le risque et le degré d’intervention. Le RGPD concerne principalement la protection des données personnelles et ne constitue pas l’objet principal de la loi Jardé.

Explication

Une recherche impliquant la personne humaine est organisée et pratiquée sur l’être humain afin de développer des connaissances biologiques ou médicales, ou d’évaluer des mécanismes, actes ou produits. Une enquête descriptive sans cette finalité relève d’une autre catégorie.

Explication

La RIPH-1 implique une intervention non justifiée par la prise en charge habituelle, tandis que la RIPH-3 est non interventionnelle et sans risque ni contrainte. Les risques et contraintes minimes caractérisent la RIPH-2, ce qui distingue cette catégorie des deux autres.

Explication

Une recherche non RIPH peut exploiter des données déjà collectées dans les soins, une recherche antérieure ou une base existante sans viser le développement de connaissances biologiques ou médicales. Une intervention ou une évaluation médicale chez des participants peut au contraire relever d’une RIPH.

Explication

La loi de 1978 a créé la CNIL, autorité administrative indépendante chargée des questions de protection des données. Le RGPD constitue, quant à lui, un cadre européen appliqué depuis 2018, et non l'acte fondateur de la CNIL.

Explication

Le RGPD a été adopté en 2016, puis est devenu applicable en mai 2018 aux personnes se trouvant sur le sol européen. Confondre ces deux dates revient à assimiler l'adoption du texte au début de son application.

Explication

La CNIL informe, protège les droits, accompagne la conformité, conseille, contrôle et peut sanctionner les organismes concernés. Elle n'assure pas la gestion quotidienne des fichiers et ne supprime pas automatiquement les données traitées.

Explication

La minimisation impose de collecter des données nécessaires et pertinentes au regard d'une finalité légale et légitime. Une collecte réalisée par précaution, sans utilité établie, ne respecte pas cette exigence.

Explication

Le RGPD s'applique aux organismes publics et privés qui traitent les données personnelles de résidents européens, y compris les clubs et fédérations sportives. Le statut privé ou l'établissement hors d'Europe ne suffit donc pas à exclure une fédération de ce cadre.

Explication

Une donnée personnelle est toute information concernant une personne physique identifiée ou identifiable, directement ou indirectement. Un identifiant indirect peut donc relever de cette définition, contrairement à une statistique véritablement anonyme.

Explication

L'appartenance syndicale fait partie des catégories sensibles énumérées par le RGPD, au même titre que la santé ou les opinions politiques. Une préférence personnelle ou une information administrative ordinaire ne relève pas, par elle-même, de cette catégorie particulière.

Explication

Le traitement des données sensibles peut notamment être autorisé en présence d'un consentement exprès, ainsi que dans d'autres cas prévus par le RGPD. Un consentement ordinaire ou une simple utilité statistique ne fournit pas nécessairement la justification requise.

Explication

Le registre décrit notamment la finalité, les catégories de données, les personnes autorisées et la durée de conservation. La base juridique et les mesures techniques peuvent être pertinentes, mais elles ne constituent pas les quatre éléments visés ici.

Explication

Le responsable de traitement détermine l’organisme concerné et les finalités, alors que le sous-traitant traite les données pour son compte et selon ses instructions. Le sous-traitant n’est donc pas celui qui décide des finalités.

Explication

La désignation est obligatoire pour les organismes publics, ainsi que dans certaines activités de suivi régulier et systématique à grande échelle ou de traitement massif de données sensibles. Une conservation limitée de coordonnées ne suffit pas, à elle seule, à caractériser ces situations.

Explication

Les informations de santé sont couvertes par le secret, et leur partage avec l’équipe de soins ou d’autres professionnels doit respecter les conditions légales ainsi que, selon les cas, le consentement. La simple utilité pour la coordination ne suffit donc pas à autoriser une transmission.

Explication

Le patient doit être informé du partage et peut s’y opposer à tout moment, y compris entre membres de l’équipe de soins. L’information n’est donc pas reportée après l’échange, et l’opposition ne se limite pas à l’hébergeur.

Explication

Le croisement d’au moins quatre positions géographiques permettrait de réidentifier 95 % des utilisateurs, tandis que deux localisations comme le trajet domicile-travail permettraient d’en identifier 50 %. Les pourcentages inversés ne correspondent donc pas au risque décrit.

Explication

Les consultations étant tracées, l’auteur d’un accès injustifié peut voir sa responsabilité engagée. La traçabilité permet d’identifier les consultations, mais elle ne supprime pas automatiquement celles qui seraient irrégulières.

Explication

La transmission doit être justifiée et réalisée par des moyens sécurisés, car les SMS, photos, adresses courriel personnelles et clés USB peuvent compromettre le secret professionnel. L’urgence, la connaissance du destinataire ou la suppression ultérieure ne transforme pas ces supports en moyens autorisés.

Explication

Les personnes concernées doivent être informées lorsque leurs données personnelles servent à entraîner un modèle susceptible de les mémoriser. L’information ne dépend pas de la reproduction effective de leurs données dans une réponse.

Explication

La réutilisation est possible après avoir vérifié que la collecte initiale n’est pas manifestement illicite et que le nouvel usage reste compatible avec cette collecte. La publication accessible des données ne suffit pas, à elle seule, à établir cette compatibilité.

Explication

Ces droits doivent être intégrés dès la conception des modèles afin que leur exercice soit prévu dans leur fonctionnement. Attendre le déploiement rend leur prise en compte plus tardive et ne respecte pas cette exigence de conception.