Droit et économie · Terminale STMGBac
Protection des données personnelles : exercices de Terminale STMG
Publié le 11 novembre 2026 · Mis à jour le 11 novembre 2026 · Signaler une erreur
L'essentiel
- Une donnée personnelle est toute information qui permet d'identifier une personne physique, directement ou indirectement.5
- Le RGPD est un règlement européen adopté le 27 avril 2016 et entré en vigueur le 25 mai 2018 ; il s'applique directement dans tous les États membres.64
- En France, la loi du 6 janvier 1978 « Informatique et Libertés » et la loi du 20 juin 2018 complètent le règlement.36
- Le DPD veille au respect du cadre légal, contrôle la conformité et sensibilise les équipes.3
- Pour un cas pratique : identifier la donnée, vérifier si elle est sensible, nommer le texte applicable, conclure.
Comment utiliser ces exercices
Ces exercices te font travailler la protection des données personnelles comme on te le demande en droit : repérer une notion, la définir, citer le bon texte, puis appliquer la règle à une situation concrète. Ils sont classés par difficulté croissante. Commence par ceux de niveau 1, qui vérifient les définitions, puis passe aux cas pratiques.
Cherche d'abord seul, sans regarder les indices. Si tu bloques, ouvre un indice, puis la correction. Une fois corrigé, reformule la règle avec tes propres mots : c'est ce qui la fixe en mémoire.
Rappels utiles avant de commencer
Les exercices
Exercice 1 Repérer les données personnelles
Un lycée crée une fiche pour chaque élève. Elle contient : le nom, le prénom, l'adresse postale, le numéro de téléphone des parents, la couleur du cartable et la moyenne en économie.
- Qu'est-ce qu'une donnée à caractère personnel ?
- Parmi les informations de la fiche, lesquelles en sont ?
Indice 1
Demande-toi si cette information permet de reconnaître l'élève, seule ou croisée avec d'autres.
Indice 2
Une personne peut aussi être reconnue de façon indirecte.
Voir la correction pas à pas
Définition : c'est toute information qui concerne une personne physique que l'on peut reconnaître, soit tout de suite, soit en la rapprochant d'autres éléments.5
Le nom et le prénom désignent directement l'élève : ce sont des données personnelles.4
L'adresse et le téléphone des parents sont des coordonnées : elles comptent aussi parmi les données personnelles.4
La moyenne en économie, inscrite sur la fiche d'un élève nommé, concerne une personne identifiée : c'est une donnée personnelle.
Isolée, la couleur d'un cartable ne désigne personne. Mais ici elle figure sur la fiche d'un élève nommé : elle se rapporte donc à une personne identifiée et devient elle aussi une donnée personnelle.5
Toutes les informations de la fiche sont des données personnelles, car chacune se rattache à un élève identifié. Même la couleur du cartable en est une ici ; détachée de toute fiche et de tout élève, elle n'en serait pas une.
Exercice 2 Sensible ou non ?
Classe chaque donnée comme sensible ou non sensible, puis justifie :
a. l'appartenance à un syndicat ; b. la note obtenue en droit ; c. un problème de santé signalé à l'infirmerie ; d. l'adresse électronique d'un élève.
Indice 1
Rappelle-toi les catégories sensibles : origines, opinions, syndicat, santé, vie sexuelle.
Indice 2
Les données scolaires ne sont pas sensibles dans leur ensemble.
Voir la correction pas à pas
Rappel : une donnée est sensible quand elle dévoile les origines, les convictions politiques, philosophiques ou religieuses, l'engagement syndical, l'état de santé ou la vie sexuelle d'une personne.5
a. L'engagement syndical fait partie de cette liste : donnée sensible.5
b. Une note est une donnée scolaire. Ces données ne sont pas sensibles dans leur ensemble : donnée non sensible.5
c. L'état de santé fait partie de la liste : donnée sensible.5
d. Une adresse électronique est une coordonnée, donc une donnée personnelle ordinaire : non sensible.4
Sont sensibles les réponses a et c. Les réponses b et d sont des données personnelles non sensibles.
Exercice 3 Du vote à l'application du RGPD
Le RGPD a été adopté en 2016 et est entré en vigueur en 2018. Combien d'années séparent ces deux années ?
Indice 1
Soustrais l'année d'adoption de l'année d'entrée en vigueur.
Voir la correction pas à pas
Année d'adoption : 2016, le règlement ayant été adopté le 27 avril 2016.6
Année d'entrée en vigueur : 2018, plus précisément le 25 mai 2018.4
Calcul : ans.
Il s'écoule environ deux années entre l'adoption et l'entrée en vigueur du RGPD. Ce délai laisse aux organisations le temps de se mettre en conformité.
Exercice 4 Règlement ou directive ?
Un élève affirme : « Le RGPD ne s'applique en France qu'après le vote d'une loi française qui le recopie, comme pour une directive. »
- Cette affirmation est-elle exacte ?
- Pourquoi la France a-t-elle malgré tout voté une loi en 2018 ?
Indice 1
Distingue ce qui est directement applicable de ce qui demande une transposition.
Indice 2
Le règlement renvoyait certains points au droit national.
Voir la correction pas à pas
Le RGPD est un règlement européen. Il est obligatoirement et directement applicable dans tous les pays membres.6
Il n'est pas nécessaire de le transposer dans le droit national : l'affirmation de l'élève est donc fausse.6
Pourtant, le règlement renvoyait à la réglementation nationale pour certains éléments, et certaines dispositions françaises le contredisaient.6
La France a donc adapté son droit interne par la loi du 20 juin 2018, qui a aussi renforcé les pouvoirs de contrôle et de sanction de la CNIL.6
Le règlement s'applique sans transposition. La loi de 2018 sert à mettre le droit français en accord avec lui, pas à le rendre applicable.
Exercice 5 Le rôle du délégué à la protection des données
Un rectorat veut installer une nouvelle application de suivi des absences dans ses lycées. Elle collecte les noms, les prénoms et les motifs d'absence des élèves.
- Qui doit être consulté avant la mise en place ?
- Cite deux missions du DPD qui peuvent intervenir dans cette situation.
- Les motifs d'absence peuvent-ils contenir des données sensibles ?
Indice 1
Le DPD est obligatoirement consulté avant un nouveau traitement.
Indice 2
Pense à une absence pour raison médicale.
Voir la correction pas à pas
Une nouvelle application est un nouveau traitement de données. Le DPD doit être obligatoirement consulté avant sa mise en œuvre.3
Mission 1 : veiller au respect du cadre légal, en toute indépendance, par les responsables de traitement et leurs sous-traitants.3
Mission 2 : analyser et contrôler le degré de conformité au RGPD, pour repérer les éventuelles non-conformités.3 Il peut aussi informer et sensibiliser les services par des formations.3
Les motifs d'absence peuvent révéler une information de santé, qui est une donnée sensible.5 Le traitement demande alors une vigilance particulière.
Le DPD est consulté avant le lancement, il contrôle la conformité et peut sensibiliser les équipes. Les motifs d'absence sont un point de vigilance car ils peuvent relever de la santé.
Exercice 6 Quelques années d'écart avec l'ancienne directive
Avant le RGPD, la directive 95/46/CE protégeait déjà les données, depuis son adoption en 1995. Calcule le nombre d'années entre l'adoption de cette directive (1995) et l'entrée en vigueur du RGPD (2018).
Indice 1
Utilise uniquement les années.
Indice 2
Vérifie que 1995 est bien l'année d'adoption de la directive.
Voir la correction pas à pas
La directive 95/46/CE a été adoptée le 24 octobre 1995.6
Elle est restée en vigueur jusqu'au 24 mai 2018, puis le RGPD est entré en vigueur le 25 mai 2018.64
Calcul sur les années : ans.
Le RGPD succède à un texte qui a encadré la matière pendant environ vingt-trois ans ; il a pour but de renforcer et d'unifier la protection des données dans l'Union.6
Exercice 7 Cas pratique : l'inscription à une application
Camille, élève de Terminale STMG, découvre que son professeur de droit utilise une plateforme numérique qui enregistre son nom, son prénom et ses résultats. L'enseignant veut aussi y ajouter une information sur la santé de Camille afin d'adapter les exercices.
Rédige une réponse structurée : la question de droit, la règle, l'application, la conclusion.
Indice 1
Sépare les données ordinaires de celle qui est sensible.
Indice 2
Cite le texte européen et les acteurs qui veillent à son respect.
Voir la correction pas à pas
Question de droit : le traitement de ces informations est-il encadré, et la donnée de santé appelle-t-elle une attention particulière ?
Règle : le nom et le prénom sont des données personnelles.4 Une donnée de santé est une donnée sensible.5 Le RGPD est le texte de référence et renforce les droits des personnes concernées.63
Application : le nom, le prénom et les résultats relèvent de données personnelles ; les données scolaires, dans leur ensemble, ne sont pas sensibles.5 L'information de santé, elle, est sensible : elle impose une attention particulière.
Application (suite) : le recours au numérique à l'école est encouragé s'il apporte un plus pédagogique, sans compromis sur l'éthique.3 Le DPD de l'académie veille au respect du cadre légal.3
Conclusion : la plateforme doit respecter le RGPD ; la donnée de santé est à traiter avec une vigilance renforcée, et le DPD peut être sollicité pour vérifier la conformité.
La démarche est la même pour tout cas pratique : identifier les données, repérer celles qui sont sensibles, nommer le texte et les acteurs, puis conclure clairement.
Exercice 8 Reconstituer l'empilement des textes
Une copie d'élève affirme que la loi « Informatique et Libertés » a été votée après le RGPD. Remets les textes dans l'ordre chronologique : RGPD (adoption), loi « Informatique et Libertés », loi relative à la protection des données personnelles de juin 2018. Puis calcule le nombre d'années entre la loi « Informatique et Libertés » (1978) et la loi de juin 2018.
Indice 1
La loi de 1978 porte la date du 6 janvier.
Indice 2
La loi de 2018 date du 20 juin.
Voir la correction pas à pas
Loi « Informatique et Libertés » : 6 janvier 1978.3
RGPD : adopté le 27 avril 2016.6
Loi relative à la protection des données personnelles : 20 juin 2018, adaptant le droit français au RGPD.6
Ordre correct : loi de 1978, puis RGPD en 2016, puis loi de 2018. L'affirmation de la copie est donc fausse.
Calcul : ans entre les deux lois françaises.
La loi de 1978 est antérieure au RGPD : elle a été renforcée par ses dispositions plus récentes.3 Quarante ans séparent la loi initiale de son adaptation de 2018.
Exercice 9 Sujet de réflexion : numérique, intelligence artificielle et données
« Les nouvelles technologies rendent la protection des données plus difficile à assurer. » Discute cette affirmation en trois paragraphes courts, en t'appuyant sur le RGPD et sur le rôle des autorités.
Indice 1
Cherche un exemple de technologie qui soulève des difficultés : intelligence artificielle, blockchain.
Indice 2
Termine par les mesures qui existent déjà : contrôle, responsabilisation, conception dès l'origine.
Voir la correction pas à pas
Paragraphe 1, le constat : le RGPD a pour objectifs de mieux protéger les personnes et de responsabiliser les acteurs du traitement.6 Les technologies évoluent vite et posent des défis nouveaux.
Paragraphe 2, les difficultés : la blockchain est décentralisée, ce qui pose la question de savoir qui est responsable devant la loi.6 Le CEPD juge urgent de mieux évaluer les risques de l'intelligence artificielle pour les droits et libertés.6
Paragraphe 3, les réponses : le CEPD recommande des mesures techniques et organisationnelles, dont la protection des données dès la conception et par défaut.6 La CNIL dispose d'un pouvoir de contrôle et de sanction accru.6
Conclusion de la discussion : l'affirmation est vraie en partie. Les technologies compliquent la tâche, mais le droit prévoit des outils adaptables et des autorités chargées de les faire respecter.
Un bon développement montre qu'une règle peut être mise à l'épreuve par la technique sans perdre sa valeur : c'est la combinaison des textes, des autorités et de la prévention qui assure la protection.
Les questions qu'on se pose
Comment savoir si une information est une donnée personnelle ?
Demande-toi si elle permet d'identifier une personne physique, seule ou en la croisant avec d'autres informations.5 Un nom, un prénom, des coordonnées ou des données biométriques sont des exemples classiques.4 Une information isolée qui n'identifie personne n'en est pas une, mais elle peut le devenir quand on la rattache à quelqu'un.
Les notes d'un élève sont-elles des données sensibles ?
Sources
Programme visé : Programmes et ressources en série STMG · Éduscol (Ministère de l'Éducation nationale)
- Programmes et ressources en série STMG, Éduscol (Ministère de l'Éducation nationale). Consulté le 11 novembre 2026.
- Le référentiel CNIL de formation des élèves à la protection des données personnelles, Éduscol. Consulté le 11 novembre 2026.
- Les enjeux de la protection des données au sein de l'éducation, Ministère de l'Éducation nationale. Consulté le 11 novembre 2026.
- Protection des données personnelles et assistance, Éduscol. Consulté le 11 novembre 2026.
- Le RGPD dans les établissements scolaires, Académie de Nancy-Metz. Consulté le 11 novembre 2026.
- Règlement général sur la protection des données, Wikipédia. Consulté le 11 novembre 2026.
Les numéros dans le texte renvoient à ces sources. Une source qui ne dit pas ce qu'on lui fait dire ? Signale-le.