Quizz : Principes de la protections des données

L’archivage intermédiaire des données doit obligatoirement se concrétiser par un stockage des données sur un support totalement distinct de la base active.

• Vrai

• Faux

Answer explanation

Le choix du mode d’archivage est laissé à l’appréciation du responsable du fichier. L’organisme peut ainsi laisser les données concernées dans la base active, mais en les isolant des autres au moyen d’une séparation logique. La restriction des habilitations et droits d’accès à ces données permettront de les rendre inaccessible aux personnes n’ayant plus besoin d’en connaître.

La réponse correcte est « Faux ».

Lorsqu’une personne s’oppose au traitement de ses données auprès d’un organisme, celui-ci : 

• Peut refuser de donner une suite favorable à la demande si une disposition légale rend obligatoire le traitement

• Peut demander à la personne de justifier sa demande si le traitement en cause n’a pas pour objectif la prospection

• Doit nécessairement apporter une suite favorable à la requête si le motif présenté est légitime

Answer explanation

Le RGPD ne prévoit pas de droit d’opposition pour les traitements mis en œuvre sur la base d’une obligation légale s’imposant au responsable de traitement. De plus, sauf finalité de prospection, qu’elle soit de nature commerciale ou politique (opposition discrétionnaire), lorsque le traitement se fonde sur un intérêt légitime ou un intérêt public, les personnes ne peuvent s’y opposer qui pour des « raisons tenant à leur situation particulière » devant dont être présentées au responsable de traitement.

Le responsable de traitement peut refuser de donner suite à l’exercice d’un droit si :

• La personne a déjà exercé ce droit plusieurs fois et sa demande est manifestement infondée ou excessive.

• Il peut prouver que les données sont anonymes

• Donner suite demande un effort disproportionné

Answer explanation

Le responsable de traitement ne peut refuser de donner suite à une demande au motif que celle-ci exige un effort disproportionné. Dans les autres cas, il devra démontrer l’impossibilité pour lui de rattacher des données au demandeur ou le caractère manifestement infondé ou excessive de sa demande.

Les réponses correctes sont :

Il peut prouver que les données sont anonymes ;

La personne a déjà exercé ce droit plusieurs fois et sa demande est manifestement infondée ou excessive.

L’actualisation des données contenues dans les fichiers vient satisfaire le principe de minimisation des données.

• Vrai

• Faux

Answer explanation

Le principe de minimisation des données impose que les informations collectées soient pertinentes et proportionnées au regard du but poursuivi. Le principe d’exactitude des données s’en distingue et le complète.

La réponse correcte est « Faux ».

Dans le cadre de transferts de données vers un pays « non adéquat », l’organisme n’as pas besoin d’autorisation si :

• Il met en place des clauses contractuelles spécifiques

• Il met en place des règles d’entreprise contraignantes (BCR)

• Il recourt aux clauses contractuelles types (CCT) adoptées par la Commission européenne

• La personne a donné son consentement

Answer explanation

Des clauses contractuelles non types/spécifiques pourront apporter des garanties suffisantes sous réserve qu’elles aient fait l’objet d’un examen de la CNIL dans le cadre d’une demande d’autorisation

Les réponses correctes sont :

Il met en place des règles d’entreprise contraignantes (BCR) ;

Il recourt aux clauses contractuelles types (CCT) adoptées par la Commission européenne; La personne a donné son consentement.

Parmi ces données, lesquelles font l’objet d’un encadrement particulier par les dispositions légales européennes et nationales ?

• Les données relatives aux infractions

• Les opinions politiques

• Les coordonnées bancaires

• Les données génétiques

• Les données de santé

Answer explanation

Contrairement aux autres catégories de données, les coordonnées bancaires, et plus largement les données financières, ne font pas l’objet de dispositions spécifiques dans le règlement européen et la loi française ‘Informatique et Libertés ». Pour autant, elles présentent une sensibilité particulière.

Les réponses correctes sont :

Les opinions politiques ;

Les données génétiques ;

Les données relatives aux infractions ;

Les données de santé.

La situation suivante présente-t-elle un détournement de finalité ? L’utilisation par une commune, à des fins de mise à jour de ses fichiers d’usagers, des données collectées pour le compte de l’INSEE dans le cadre du recensement de la population.

• Oui

• Non

Answer explanation

Cette situation représente un détournement de finalité.

La réponse correcte est :

Oui

L’obligation de veiller à la sécurité des données personnelles impose le chiffrement systématique de celles-ci .

• Vrai

• Faux

Answer explanation

Le chiffrement est une mesure de sécurité parmi d’autres, dont la pertinence/nécessité devra être appréciée au cas par cas. Ainsi par exemple, il conviendra de chiffrer les fichiers stockés sur des clés USB pour garantir la confidentialité de données  en cas de perte/vol de celles-ci.

La réponse correcte est « Faux ».

La loi autorise les autorités publiques à accéder aux données personnelles détenues par les organismes sans devoir fournir de justificatif.

• Vrai

• Faux

Answer explanation

La communication de données personnelles aux autorités habilitées par des dispositions spécifiques ne peut intervenir que sur demande ponctuelle, écrite et motivée (en droit). Le texte législatif ou réglementaire fondant le droit de communication, comme les informations sollicitées, doivent être précises.

La réponse correcte est « Faux ».

Les organismes saisis de demandes de personnes exerçant leurs droits doivent répondre à celles-ci dans le délai d’un mois.

• Vrai

• Faux

Answer explanation

Les organismes doivent fournir aux personnes des informations sur les mesures prises à la suite de leurs demandes « dans les meilleurs délais et en tout état de cause dans un délai d’un mois ». Ainsi, même si le délai complet de gestion des demandes (ex. : transmission d’une copie de toutes les données détenues) pourra être « prolongé de deux mois, compte tenu de la complexité et du nombre de demandes », le responsable de traitement devra informer la personne concernée de cette prolongation et des motifs du report dans un délai d’un mois à compter de la réception de la demande.

La réponse correcte est « Vrai ».