RGPD CRN 1

Parmi ces structures, qui est concernée par le RGPD ?

(plusieurs réponses possibles)

• Google

• Le Ministère de l'Education

• L'association de yoga du quartier Belcier à Bordeaux

• Ubisoft

• Adrexo qui gère l'envoi de courriers adressés pour le compte de Evocime

Answer explanation

Tout organisme quels que soient sa taille, son pays d’implantation et son activité, peut être concerné.

En effet, le RGPD s’applique à toute organisation, publique et privée, qui traite des données personnelles pour son compte ou non, dès lors :

qu'elle est établie sur le territoire de l’Union européenne,

ou que son activité cible directement des résidents européens.

Le RGPD concerne aussi les sous-traitants qui traitent des données personnelles pour le compte d’autres organismes.

Que signifie le "Principe de Finalité" en termes de RGPD ?

• A chaque collecte et traitement d'une donnée doit être assigné un but légal et légitime au regard de l'activité professionnelle

• Il s'agit d'un Comité de réflexion au sein de l'Union européenne se focalisant sur la RGPD

Answer explanation

Un traitement de données doit avoir un objectif, une finalité, c’est-à-dire que vous ne pouvez pas collecter ou traiter des données personnelles simplement au cas où cela vous serait utile un jour. À chaque traitement de données doit être assigné un but, qui doit bien évidemment être légal et légitime au regard de votre activité professionnelle.

CNIL

Associer la donnée utile à une finalité de traitement légal et légitime dans le cadre d'un Recrutement

• Sélection d'un candidat

• Niveau d'étude

• Dossier de mutuelle

• Préférence sexuelle

• Réalisation du contrat de travail

• Date de naissance

• Echanges sur l'avancée du recrutement

• Situation familiale

• Aucune raison légale et légitime

• Mail

Vous êtes en phase de sélection des candidats apprenants. Demander aux candidats leur numéro de sécurité sociale est-il conforme au principe de finalité du RGPD ?

• Oui

• Non

Answer explanation

A ce stade du recrutement, cette donnée ne répond pas à un objectif précis et temporel de traitement de la donnée.

Cette demande ne respecte donc pas le RGPD.

Dans le cadre du RGPD, vous devez informer les candidats sur ce que vous allez faire des données qu'ils vous communiquent: qui va ya voir accès, combien de temps, comment peuvent-ils exercer leurs droits sur leurs données.

Une fois le choix du candidat réalisé, vous devez supprimer les informations sur les candidats non retenus, sauf s'ils acceptent explicitment de rester dans votre vivier pour une duée limitée (2 ans)

Combien de temps peut-on garder une donnée personnelle ?

• 2 ans

• 3 mois

• 5 ans

• Cela dépend de la finalité du traitement de la donnée

Answer explanation

Une donné sera gardée selon la finalité du traitement de cette donnée, et doit être justifiée.

Parmi ces lieux de stockage de données, lesquelles doivent être gérées selon les principes du RGPD ?

(plusieurs réponses possibles)

• Fichier Excel

• CRM

• Document papier

Answer explanation

L'ensemble des données collectées, stockées et utilisées est soumis au RPGD quelque soit la modalité de collecte

Parmi ces données, lesquelles sont des données dites "sensibles" selon le RGPD ?

(plusieurs réponses possibles)

• Activité syndicale

• Santé

• Opinions politiques

• Age

Answer explanation

Les données sensibles forment une catégorie particulière des données personnelles.

Ce sont des informations qui révèlent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique. 

Le règlement européen interdit de recueillir ou d’utiliser ces données, sauf, notamment, dans les cas suivants :

- si la personne concernée a donné son consentement exprès (démarche active, explicite et de préférence écrite, qui doit être libre, spécifique, et informée) ;

- si les informations sont manifestement rendues publiques par la personne concernée ;

- si elles sont nécessaires à la sauvegarde de la vie humaine ;

- si leur utilisation est justifiée par l'intérêt public et autorisé par la CNIL ;

- si elles concernent les membres ou adhérents d'une association ou d'une organisation politique, religieuse, philosophique, politique ou syndicale. 

Quel est le montant maximum des sanctions pécuniaires en cas de non respect de la RGPD ?

(plusieurs réponses possibles)

• Il n'y a pas de sanction.

• Jusqu'à 4% du CA annuel mondial pour une entreprise

• 20 millions d'euro

• 2000€

Answer explanation

Avec le RGPD (règlement général sur la protection des données), le montant des sanctions pécuniaires peut s’élever jusqu’à 20 millions d’euros ou dans le cas d’une entreprise jusqu’à 4 % du chiffre d’affaires annuel mondial. Ces sanctions peuvent être rendues publiques.

Lorsque des manquements au RGPD ou à la loi sont portés à sa connaissance, la formation restreinte de la CNIL peut :

prononcer un rappel à l’ordre ;

enjoindre de mettre le traitement en conformité, y compris sous astreinte ;

limiter temporairement ou définitivement un traitement ;

suspendre les flux de données ;

ordonner de satisfaire aux demandes d'exercice des droits des personnes, y compris sous astreinte ;

prononcer une amende administrative.

Mettez dans l'ordre les 4 actions principales à mener pour entamer une mise en conformité au RGPD.

• Recenser les fichiers intégrant des données personnelles (registre des données)

• Faire le tri des données en termes de finalité.

• Respecter les droits des personnes: information, droit d'accès, rectification, opposition, effacement, portabilité, limitation du traitement

• Sécuriser les données contre la perte des données et le piratage

En termes de consentement du destinataire à recevoir une information par voie électronique, le principe de la RGPD est:

• Principe de l'opt-in

• Principe de l'opt-out

• Principe du double opt-in

Answer explanation

L'opt-in, c'est obtenir le consentement explicite du destinataire. Celui-ci doit valider en cochant une case disant "oui, je consens".

c'est aujourd'hui le principe de la reglementation RGPD.

L'opt-out, c'est lorsque le destinataire de la publicité ne s'est pas opposé. S'il n'a pas dit "non", alors c'est "oui".

Il s'agit du principe antérieurement appliqué.

Le double opt-in consiste à valider par 2 fois que le destinataire consent à être contacté. D'abord en cochant la case "je consens", puis en validant ce consentement par mail ou courrier.

Il s'agit là d'une sécurité supplémentaire mise en place par certaines structures.