RGPD & Juridique

Une entreprise collecte des données clients pour son service. Quelle condition rend cette collecte conforme au RGPD ?

• L'entreprise dispose d'un système de stockage sécurisé et chiffré des informations
• Les données collectées correspondent strictement à la finalité déclarée du traitement
• Le consentement peut être obtenu après collecte si notification dans les 72h
• Les données sont automatiquement anonymisées après traitement initial

Qu'est-ce qui caractérise une donnée à caractère personnel selon le RGPD ?

• Un élément permettant l'identification uniquement directe d'une personne
• Une donnée stockée dans un système de traitement automatisé de données
• Une donnée collectée avec le consentement explicite de la personne
• Une information permettant d'identifier directement ou indirectement une personne physique

Dans quel cas une donnée pseudonymisée reste-t-elle une donnée personnelle au sens du RGPD ?

• Quand elle concerne une personne résidant dans l'Union Européenne
• Quand elle est stockée dans une base soumise au RGPD
• Quand la clé de réidentification existe encore quelque part dans l'organisation
• Quand elle fait partie d'un traitement à grande échelle

Une organisation traite des données révélant les opinions politiques d'individus. Quelle condition légalise ce traitement ?

• La mise en place de mesures de sécurité renforcées de niveau militaire
• L'information transparente via les mentions légales et la politique de confidentialité
• L'autorisation préalable du DPO et validation par le comité d'éthique
• Le consentement explicite écrit de la personne concernée pour ce traitement spécifique

Quelle est la différence fondamentale entre responsable de traitement et sous-traitant selon le RGPD ?

• Le responsable définit les finalités et moyens, le sous-traitant exécute pour son compte
• Le responsable collecte les données, le sous-traitant les stocke et les sécurise
• Le responsable est toujours une personne morale, le sous-traitant peut être physique
• Le responsable gère les droits des personnes, le sous-traitant gère la sécurité

Un DPO est obligatoire dans quelle situation selon le RGPD ?

• Pour toute entreprise traitant des données de plus de 5000 personnes
• Pour toute organisation certifiée ISO 27001 traitant des données personnelles
• Pour un organisme public ou réalisant un suivi systématique à grande échelle
• Pour tout traitement nécessitant une AIPD selon les critères du G29

Que doit contenir le registre des traitements selon l'article 30 du RGPD ?

• Les finalités, catégories de données, destinataires et mesures de sécurité générales
• L'historique des modifications avec traçabilité complète des accès
• Les AIPD réalisées et leurs conclusions pour chaque traitement
• Les incidents survenus et les mesures correctives appliquées

L'AIPD (Analyse d'Impact relative à la Protection des Données) repose sur deux piliers. Lesquels ?

• L'analyse technique et l'analyse organisationnelle des risques identifiés
• La conformité légale et l'évaluation des coûts de mise en œuvre
• Les mesures préventives et les mesures correctives à implémenter
• Les principes fondamentaux non négociables et la gestion des risques sur la vie privée

Une organisation découvre que son traitement remplit deux critères des lignes directrices du G29. Quelle action s'impose ?

• Notifier la CNIL dans les 72 heures de cette découverte
• Réaliser une AIPD car le traitement est susceptible d'engendrer des risques élevés
• Désigner un DPO dédié à ce traitement spécifique
• Suspendre le traitement jusqu'à validation par l'autorité de contrôle

Selon le principe de Privacy by Design, quand intégrer la protection des données ?

• Après la phase de développement mais avant les tests d'acceptation
• Au moment de la première collecte réelle de données personnelles
• Lors de l'audit de conformité pré-production
• Dès la phase de conception du projet ou système de traitement