RGPD & Data Privacy

La CNIL peut prononcer une sanction seulement si l’organisme concerné n’a pas respecté une mise en demeure de se conformer au RGPD.

• Vrai

• Faux

Answer explanation

La CNIL peut décider de prononcer une sanction à l’égard d’un organisme sans avoir préalablement adopté une mise en demeure

Parmi les données suivantes se rapportant à une personne physique, quelles sont celles qui, prises isolément,  sont qualifiables de « données à caractère personnel » ?

• Code postal

• Numéro de téléphone

• Numéro d’immatriculation du véhicule

• Photographie

Answer explanation

Ce sont toutes des données à caractère personnel à l’exception du code postal qui, seul, ne permet pas de remonter à une personne physique identifiée ou identifiable. Ce n'est qu'en étant associé à une ou plusieurs autres données que ce code postal pourrait être qualifié de "donnée personnelle" (une date de naissance pourrait suffire pour les petites localités).

Une donnée publique n’est jamais considérée comme une donnée personnelle.

• Vrai

• Faux

Answer explanation

Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, est une donnée dite à caractère personnel. Peu importe que ces informations soient confidentielles ou publiques

Qui est le responsable de traitement pour la gestion du dossier professionnel des salariés ?

• L'entreprise

• Le(s) dirigeant(s)

• La Head of People

• Les Ops

Answer explanation

C’est la structure qui décide et met en œuvre le traitement de données qui est qualifiée de responsable de traitement. En pratique, ce sera au dirigeant, ou au DRH en cas de délégation de pouvoir, de veiller au respect des règles de protection des données.

Une entreprise dispose d’un fichier de ses fournisseurs dans lequel figurent des adresses électroniques de contacts. Le RGPD ne s’applique pas à ce fichier car il s’agit d’informations collectées dans un cadre professionnel.

• Vrai

• Faux

Answer explanation

Le caractère professionnel des données n’a aucune conséquence sur leur qualité de données à caractère personnel.

Le RGPD et la DS&P ne me concerne pas si je n'ai que des fichiers papier.

• Vrai

• Faux

Lorsque l'analyse d'impact révèle un risque élevé pour les droits et libertés des personnes, je dois consulter la CNIL.

• Vrai

• Faux

Answer explanation

Vrai : La CNIL doit se prononcer dans un délai maximum de 8 semaines sur les mesures et garanties qu'envisage de mettre en place le responsable du traitement. A l'issue de ce délai, elle peut décider d'autoriser le traitement, de prescrire des mesures complémentaires ou de limiter ou suspendre le traitement.

Afin de sécuriser les données personnelles, seuls les salariés de l'entreprise peuvent y avoir accès.

• Vrai

• Faux

Answer explanation

Faux : L'accès aux données personnelles doit être restreint en fonction des objectifs poursuivis. Tous les salariés ne peuvent donc pas avoir accès à l'ensemble des données personnelles traitées ou stockées dans l'entreprise, ce qui implique qu'il y ait un cloisonnement en interne afin de donner des habilitations nécessaires à certains salariés en fonction des tâches qu'il a à exécuter. A l'inverse, il peut être justifié que certaines personnes extérieures à l'entreprise puissent avoir accès à ces données personnelles. Par exemple, dans le cadre de la gestion externalisée de la paie, les administrateurs internes ou externes peuvent avoir accès aux données, de même que les sous-traitants en charge de la gestion de la paie. En interne, seuls les RH et éventuellement la direction financière peuvent avoir accès aux données de leurs salariés. L'accès aux données nécessaires à la gestion de la paie doit donc être strictement limité à ces personnes.

Le RGPD ne me concerne pas si j'ai anonymisé les données.

• Vrai

• Faux

Au sein d'un groupe de sociétés, une société peut être le sous-traitant d'une autre société, cette dernière agissant en tant que responsable du traitement 

• Vrai

• Faux

Answer explanation

Le fait que les deux sociétés appartiennent au même groupe de sociétés n’interdit pas la qualification de sous-traitant.

Lorsque les deux sociétés sont des entités distinctes, l’une peut être sous-traitant de l’autre, qui agit en tant que responsable de traitement.