Quiz sur la conformité au RGPD

une personne physique identifiable (au sens du RGPD) peut être identifiée indirectement

• vrai

• faux

Answer explanation

oui en croisant deux données indirectes (poste dans l'entreprise et prénom)

On doit supprimer les données personnelles d’un utilisateur suite à une demande de suppression. L’équipe a donc supprimé toutes les informations qui permettent de l’identifier. Il reste simplement l’identifiant lui correspondant en base. Est-ce suffisant ?

• Oui

• Non

Answer explanation

oui dès lors que l'identifiant seul ne permet pas d'identifier la personne

Je conserve un dossier sur le bureau dans lequel je stocke des Cv de collaborateurs actuels ou partis. Personne n’y a accès sauf moi. Est-ce conforme au RGPD ?

• Oui

• Non

Answer explanation

non, le fichier n'est pas sécurisé et de plus est il nécessaire ?

À la suite d’un débat sur le don du sang au déjeuner, notre manager décide dans son coin de mettre dans un fichier partagé le groupe sanguin de chaque collaborateur. Sait-on jamais s’il y avait un accident au bureau et qu’il fallait faire une perfusion en urgence ! Est-ce conforme au RGPD ?

• Oui

• Non

Answer explanation

Non, la question est de savoir si cette donnée est utile à qqch et de plus c'est une donnée de santé (sensible )

Les RH me demandent de fournir mon RIB. Pourtant, elles ne me demandent pas mon consentement pour s’en servir. Est-ce normal ?

• Oui

• Non

Answer explanation

LE RIB permet de verser le salaire conformément au contrat de travail donc il y a une base légale (pas de consentement exigé)

Je démissionne et j’aimerais que mon futur ex employeur supprime toutes les données qui me concernent. Est-ce possible ?

• Oui

• Non

Answer explanation

Non du fait de la prescription légale, la durée de conservation des données du personnel est de 5 ans (prescription prud'homale)

Un candidat vient de nous écrire pour qu’on supprime toutes les données qu’on a sur lui. Je supprime son formulaire de contact. Est ce suffisant ?

• Oui

• Non

• oui ou non selon les circonstances

• je ne sais pas

Answer explanation

Tout dépend de ce qu'on a fait de son CV.

C'est suffisant si son CV n'a été tranmis à personne

C'est insuffisant si son CV a été transmis à un Directeur d'Activités par exemple et dans ce cas, ce dernier doit supprimer également ce CV de ses mails ou dossiers (voire jeter l'impression du CV)

J’apprends que l’entreprise conserve depuis une vingtaine d’années tous les numéros de téléphone et le nom des entreprises avec qui elle a établi une relation commerciale dans un fichier Excel accessible à tous. Ça peut toujours servir. Ce n’est pas conforme au RGPD

• Oui

• Non

Answer explanation

Non ce 'est pas conforme pour différentes raisons :

pb de durée, de sécurité, de nécessité (finalité), de pertinence (minimisation) d'exactitude....

Un ancien client demande la suppression de toutes ses données personnelles. À la compta, il y a notamment des factures de l’an dernier de ce client. Pour être conforme, on les supprime aussi ?

• Oui

• Non

Answer explanation

Non, car il y a une durée obligatoire de conservation des factures de 6 ans

J’aperçois dans les logs une adresse IP en provenance de l’Azerbaïdjan. En creusant un peu plus, je remarque qu’il y a eu une lecture des données bancaires de certains de nos clients. Qu’est-ce que je dois faire ?

• Déclarer à la CNIL

• Informer le DPO

• Informer le DSI

• Faire comme si je n’avais rien vu

Answer explanation

D'après la procédure en cas de violation de DCP il faut prévenir le DSI + le responsable de traitement + DPO qui après analyse déclareront ou pas à la CNIL