Donnée personnelle, traitement et champ du RGPD
Les définitions de l'article 4 du RGPD, les catégories particulières de données, la différence entre pseudonymiser et anonymiser, et les cas où le règlement s'applique ou non : savoir qualifier une donnée, un acteur et un traitement.
- 24 cartes
- 4 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Notions
- Questions
- Ranger et relier
- Mises en situation
Quelques cartes du deck
Donnée personnelle : de quoi s'agit-il ?
Voir la réponse
Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou par recoupement.
Un nom, un e-mail, une adresse IP ou un identifiant de compte en sont. Une personne est identifiable dès qu'on peut la retrouver avec des moyens raisonnables, même sans son nom.
Une start-up publie un fichier où nom et e-mail ont été supprimés, mais qui garde date de naissance, code postal et sexe. Que dire de ce fichier ?
- Il peut rester personnel : ces champs croisés désignent souvent quelqu'un
- Il est anonyme, puisque plus aucun champ ne contient un nom ou une adresse e-mail à lui seul
- Il est pseudonymisé, car la table de correspondance se trouve ailleurs
- Il est sensible, car la date de naissance relève de l'article 9
Voir la réponse
Il peut rester personnel : ces champs croisés désignent souvent quelqu'un
L'anonymat se juge sur la possibilité de retrouver la personne, pas sur la présence d'un nom. Ici, l'identification par recoupement reste réaliste ; la date de naissance n'est pas une donnée sensible.
Le règlement (UE) 2016/679, le RGPD, est applicable depuis le … dans tous les États de l'Union.
Voir la réponse
Le règlement (UE) 2016/679, le RGPD, est applicable depuis le 25 mai 2018 dans tous les États de l'Union.
C'est un règlement : il s'applique directement, sans loi de transposition. La loi française de 1978 le complète sur quelques points.
Données sensibles (catégories particulières) : de quoi s'agit-il ?
Voir la réponse
Données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ou qui touchent à la santé, à la vie ou à l'orientation sexuelle, à la génétique ou à la biométrie d'identification.
L'article 9 les interdit en principe, sauf exception (consentement explicite, intérêt vital, santé…). Le numéro de sécurité sociale n'en fait pas partie, mais il a son propre régime.
Une société américaine, sans aucun établissement dans l'Union, vend en ligne en français, en euros, avec livraison en France. Le RGPD s'applique-t-il à elle ?
- Oui : elle cible des personnes qui se trouvent dans l'Union
- Non : elle n'a aucun établissement dans l'Union
- Non : seule la loi américaine régit une société américaine
- Oui, mais seulement au-delà de 250 salariés
Voir la réponse
Oui : elle cible des personnes qui se trouvent dans l'Union
Le champ territorial couvre aussi le ciblage : langue, monnaie et livraison montrent qu'elle s'adresse aux habitants de l'Union. Le seuil de 250 salariés concerne seulement une dispense du registre.