Les obligations du responsable de traitement
Ce que le responsable doit pouvoir montrer : registre des traitements, protection dès la conception et par défaut, contrat avec le sous-traitant, analyse d'impact et délégué à la protection des données.
- 22 cartes
- 4 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Notions
- Questions
- Ranger et relier
- Mises en situation
Quelques cartes du deck
Registre des traitements : de quoi s'agit-il ?
Voir la réponse
Document tenu par le responsable, qui décrit chaque traitement : finalité, base légale, catégories de données, destinataires, durée, mesures de sécurité.
La dispense des organismes de moins de 250 personnes ne joue pas pour un traitement régulier : en pratique presque tout le monde en tient un. C'est la première pièce montrée lors d'un contrôle.
Dans quel cas la désignation d'un délégué à la protection des données est-elle obligatoire ?
- Pour un organisme public, quelle que soit sa taille
- Pour toute entreprise de plus de cinquante salariés
- Dès qu'une entreprise traite des données de clients
- Uniquement si la CNIL l'a exigé par écrit
Voir la réponse
Pour un organisme public, quelle que soit sa taille
L'obligation tient à la nature du traitement ou du responsable, non à un seuil de salariés ni à une injonction préalable. Un organisme public y est soumis, sauf une juridiction dans l'exercice de sa fonction juridictionnelle.
L'analyse d'impact est obligatoire quand un traitement est susceptible d'engendrer un … pour les droits et libertés ; la … publie une liste des traitements concernés.
Voir la réponse
L'analyse d'impact est obligatoire quand un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés ; la CNIL publie une liste des traitements concernés.
Elle se fait avant le lancement, pas après un incident. Si des risques élevés subsistent malgré les mesures, la CNIL doit être consultée.
Analyse d'impact (AIPD) : de quoi s'agit-il ?
Voir la réponse
Étude, obligatoire avant le lancement d'un traitement susceptible d'engendrer un risque élevé, qui décrit le traitement, ses risques et les mesures pour les réduire.
La CNIL publie une liste de traitements qui y sont soumis : surveillance à grande échelle d'un lieu public, profilage, données sensibles à grande échelle. Une paie de dix salariés n'en demande pas.
Une jeune pousse de douze personnes gère la paie et un fichier clients, et pense que moins de 250 salariés la dispensent de registre. Qu'en est-il ?
- Elle est dispensée, car son effectif est inférieur au seuil
- Elle n'en tient un que si elle traite des données sensibles
- Elle le tient seulement si la CNIL le lui demande
- Elle doit tenir un registre : ses traitements sont réguliers
Voir la réponse
Elle doit tenir un registre : ses traitements sont réguliers
La dispense est écartée si le traitement n'est pas occasionnel, s'il présente un risque ou s'il porte sur des données sensibles. Paie et fichier clients sont réguliers.