La sécurité des données et le RGPD : exercices de Bac pro

On rappelle le critère : une donnée personnelle permet d'identifier une personne, par exemple par son nom, son prénom, ses coordonnées ou une donnée biométrique. ²

L'élément 1 (nom et prénom) relève de l'identité : c'est une donnée personnelle.

L'élément 2 (adresse postale) est une coordonnée : donnée personnelle.

L'élément 3 (empreinte digitale) est une donnée biométrique : donnée personnelle, et d'un type qui demande une vigilance particulière.

L'élément 6 (numéro de téléphone) est une coordonnée, même s'il s'agit d'un fournisseur : donnée personnelle dès qu'il se rapporte à une personne.

Les éléments 4, 5 et 7 décrivent l'entreprise et non une personne : ils ne sont pas des données personnelles.

On compte : éléments 1, 2, 3 et 6, soit 4 données personnelles.

On vérifie les dates : adoption le 27 avril 2016 ⁵, entrée en application le 25 mai 2018. ⁶

Du 27 avril 2016 au 27 avril 2018, il s'écoule deux années de 365 jours, soit 365 + 365 = 730 jours.

Du 27 avril au 30 avril 2018, il reste 3 jours.

Du 30 avril au 25 mai 2018, on ajoute 25 jours : 3 + 25 = 28 jours.

On additionne : 730 + 28 = 758 jours.

Affirmation a : le RGPD est bien un règlement de l'Union européenne. C'est le texte de référence pour les données à caractère personnel. ⁵ Vrai.

Affirmation b : un règlement s'applique directement dans tous les États membres. Aucune transposition n'est nécessaire. ⁵ Faux.

Affirmation c : le droit français a bien été ajusté au RGPD par une loi datée du 20 juin 2018, consacrée aux données personnelles. ⁵ Vrai.

Affirmation d : au contraire, cette loi a confié de nouvelles missions à la CNIL et renforcé ses moyens de contrôler et de sanctionner. ⁵ Faux : ses pouvoirs augmentent.

On rappelle les missions prévues par l'article 39 du RGPD : informer et conseiller, contrôler le respect des règles, conseiller sur l'analyse d'impact, coopérer avec l'autorité de contrôle, faire office de point de contact avec elle. ⁶

Situation A : la direction demande ce qu'elle doit respecter, donc c'est informer et conseiller l'organisation.

Situation B : la CNIL veut joindre l'entreprise, donc le DPO joue le point de contact avec l'autorité de contrôle.

Situation C : le DPO vérifie les pratiques des services, donc il contrôle le respect des règles.

Situation D : la direction veut un avis sur une analyse d'impact, donc c'est la mission de conseil sur l'analyse d'impact.

Situation E : l'échange sur un dossier relève de la coopération avec l'autorité de contrôle, la CNIL en France. ⁶

Question 1 : noms, prénoms et coordonnées permettent de reconnaître les élèves : ce sont des données personnelles. ²

Question 2 : dans l'Éducation nationale, chaque académie a un délégué à la protection des données (DPD). Il surveille que les responsables de traitements, les établissements et leurs prestataires appliquent bien le RGPD. ²

On associe donc le DPD dès qu'un nouveau traitement est créé ou qu'un traitement existant change : c'est lui qu'on sollicite ici. ²

Question 3 : il rend un avis et peut formuler des recommandations sur le projet. ³

Question 4 : non. Avant de lancer un nouveau traitement, ou de modifier de façon importante un traitement existant, la consultation du DPD est obligatoire. ³

On résume la démarche de l'assistante : décrire les données, indiquer la finalité de l'outil, puis transmettre le dossier au DPD avant tout lancement.

Question 1 : on cherche 12 % de 250, soit $250 \times \frac{12}{100}$.

On calcule : $250 \times 12 = 3\,000$, puis $3\,000 \div 100 = 30$.

Il y a donc 30 contacts sans preuve de consentement.

Question 2 : selon le principe de responsabilité, le responsable de traitement doit pouvoir démontrer à tout moment qu'il respecte ses obligations. ⁵

Sans preuve pour 30 contacts, l'association ne peut pas faire cette démonstration pour eux.

Le principal motif de plainte après l'entrée en vigueur du RGPD concernait justement le consentement. ⁵ Si l'association s'appuie sur l'accord des contacts, elle s'expose donc à un risque réel.

Action corrective possible : documenter le consentement dans une colonne du tableur ou redemander l'accord aux 30 personnes.

Question 1 : on divise l'amende par le nombre de données : $\frac{20\,000}{2\,600\,000}$.

Ce quotient vaut environ $0{,}007692$ euro par donnée.

On convertit en centimes : $0{,}007692 \times 100 \approx 0{,}77$ centime d'euro.

Comme la fuite dépasse 2,6 millions de données, le montant réel par donnée est un peu plus faible : ce calcul est un majorant.

Question 2 : le montant a été limité grâce à la transparence du réseau social et à sa rapidité pour mettre à jour sa sécurité. ⁵

Question 3 : être transparent et corriger vite après un incident peut réduire la sanction, mais l'idéal reste d'éviter la fuite par des mesures de sécurité adaptées, comme l'attend le programme. ¹

Point 1 : les dossiers du personnel contiennent des noms, prénoms et coordonnées, donc des données personnelles. ² Le programme cite d'ailleurs la gestion des données de ressources humaines dans des environnements numériques sécurisés. ¹

Point 2 : en cas de contrôle, l'entreprise doit être capable de démontrer à tout moment qu'elle respecte le RGPD. ⁵

Point 3 : le DPO informe et conseille, contrôle le respect des règles, conseille pour l'analyse d'impact, coopère avec la CNIL et lui sert de point de contact. ⁶

Point 4 : première mesure, limiter l'accès au tableur aux seules personnes qui en ont besoin, avec des droits distincts selon les rôles.

Seconde mesure : prévoir une sauvegarde régulière et un suivi des modifications, pour pouvoir retrouver l'état du fichier en cas de perte ou d'erreur.

Rédaction type : « Les dossiers du personnel sont des données personnelles soumises au RGPD. Nous devons pouvoir prouver notre conformité à tout moment. Le DPO nous conseille, contrôle nos pratiques et dialogue avec la CNIL. Nous limitons l'accès au tableur et sauvegardons le fichier régulièrement. »