Revision sheet: Maîtrise des principes RGPD sur la protection des données

📋 Plan du Cours

1. Traitement des données personnelles
2. Finalités du traitement
3. Consentement éclairé
4. Bases légales du traitement
5. Minimisation des données
6. Durée de conservation
7. Archivage des données
8. Sous-traitance et garanties
9. Transferts internationaux
10. Sécurité des données
11. Obligations du responsable

📖 1. Traitement des données personnelles

🔑 Notions clés & Définitions

• Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, par référence à un identifiant (nom, prénom, numéro de sécurité sociale, localisation, etc.). (RGPD, art 4)

• Définition du traitement des données personnelles : toute opération ou ensemble d’opérations effectuées ou non à l’aide de processus automatisés ou non, portant sur des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, la modification, la consultation, l’utilisation, la communication, la diffusion ou la destruction. (RGPD, art 4)

• Principe de finalité (article 5b RGPD) : les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. (RGPD, art 5b)

• Exemples de traitements conformes ou non conformes à la finalité : un traitement conforme respecte la finalité déclarée (ex : traitement pour gestion de commandes), tandis qu’un traitement non conforme utilise les données à d’autres fins sans information ou consentement (ex : utilisation pour de la prospection sans lien avec la finalité initiale). (source)

📝 Points essentiels

• La notion de données à caractère personnel est centrale pour la conformité au RGPD, qui impose une définition précise pour encadrer tout traitement.

• La définition du traitement selon **RGPD (art 4) est large, incluant toute opération sur des données, automatisée ou non, pour assurer une protection étendue.

• Le principe de finalité inscrit dans l’article 5b RGPD impose que chaque traitement doit avoir un but précis, légitime, et que ce but doit être porté à la connaissance de la personne concernée. Toute utilisation ultérieure doit respecter cette finalité ou faire l’objet d’un nouveau cadre juridique.

• La conformité des traitements repose sur le respect de la finalité, la transparence, et la légitimité, sous peine de sanctions.

• La violation du principe de finalité peut entraîner des sanctions administratives et juridiques, notamment en cas d’utilisation détournée ou abusive des données.

💡 À retenir

Le traitement des données personnelles doit respecter la finalité initiale, être transparent, et limiter l’usage aux seules finalités déclarées, sous peine de sanctions. La définition large du traitement permet une régulation efficace et une protection renforcée des personnes physiques.

📖 2. Finalités du traitement

🔑 Notions clés & Définitions

• Finalité du traitement : le but précis pour lequel les données personnelles sont collectées et traitées. Selon l’article 5 b RGPD, cette finalité doit être déterminée, explicite et légitime, et le traitement ne doit pas être incompatible avec cette finalité.
• Obligation de porter la finalité à la connaissance : le responsable du traitement doit informer la personne concernée du but du traitement de ses données, permettant ainsi une relation de transparence.
• Lien entre finalité et consentement : le consentement de la personne doit être donné de manière libre, spécifique, éclairée et univoque, en lien direct avec la finalité du traitement. La personne doit savoir précisément à quoi elle consent.
• Exemples de finalités multiples : un même traitement peut poursuivre plusieurs objectifs, par exemple, la gestion administrative, la prospection commerciale, ou la personnalisation de services, à condition que chaque finalité soit clairement définie et communiquée.

📝 Points essentiels

• La finalité doit être déterminée, explicite et légitime (art 5 b RGPD).
• La transparence est une obligation : le responsable doit informer la personne concernée de la finalité du traitement (voir section 3).
• La portée de la finalité doit être limitée : tout traitement ultérieur doit être compatible avec la finalité initiale, sous peine de non-conformité (art 5 b RGPD).
• La relation entre finalité et consentement est fondamentale : le consentement doit être spécifique à chaque finalité pour être valable.
• La possibilité de poursuivre plusieurs finalités dans un même traitement doit respecter la transparence et la légitimité de chaque objectif.

💡 À retenir

La finalité du traitement doit être clairement définie, communiquée à la personne concernée, et le traitement doit rester cohérent avec cette finalité, sous peine de non-conformité au RGPD. Le lien entre finalité et consentement garantit la légitimité du traitement.

📖 3. Consentement éclairé

🔑 Notions clés & Définitions

• Consentement libre : Manifestation de volonté sans contrainte, pression ou influence indue, permettant à la personne de décider en toute autonomie (préambule du RGPD).
• Consentement spécifique : Accord donné pour une ou plusieurs finalités précises du traitement, distinctes et clairement identifiées (art 4(11) RGPD).
• Consentement éclairé : La personne doit disposer de toutes les informations nécessaires pour comprendre la nature, la portée et les conséquences du traitement de ses données (art 4(11) RGPD).
• Manifestation de volonté par acte positif clair : La manifestation doit être explicite, concrète et sans ambiguïté, par exemple cocher une case non pré-cochée ou signer un document (préambule du RGPD).
• Exemples de consentements valides : Cocher une case vide pour accepter la politique de confidentialité, signer électroniquement, ou donner une déclaration orale claire.
• Exemples de consentements invalides : Cases pré-cochées, silence, inaction ou consentement implicite, comme la case cochée par défaut ou l'absence d'acte positif (art 4(11) RGPD).

📝 Points essentiels

• Le RGPD insiste sur que le consentement doit être donné par un acte positif clair, ce qui exclut toute acceptation implicite ou silence (AUTEUR (préambule RGPD)).
• La finalité doit être portée à la connaissance de la personne, et le consentement doit être spécifique à chaque finalité pour respecter le principe de transparence et de minimisation (art 4(11), 5(1)(a) RGPD).
• Le consentement doit être libre, c’est-à-dire sans pression ou obligation, notamment dans le cadre d’un contrat ou d’une relation salariale où la personne doit pouvoir refuser sans conséquence négative (voir section 3).
• La manifestation doit être éclairée, c’est-à-dire que la personne doit recevoir une information claire et compréhensible sur le traitement envisagé, ses finalités, ses droits, etc. (art 12-14 RGPD).
• La licéité du traitement repose sur la preuve du consentement, qui doit être conservée pour justifier la conformité (art 7 RGPD).

💡 À retenir

Le consentement éclairé, libre, spécifique et univoque est une condition essentielle pour la licéité du traitement des données personnelles, garantissant la transparence et l'autonomie de la personne concernée. Toute manifestation de volonté doit être un acte positif clair pour être valable.

📖 4. Bases légales du traitement

🔑 Notions clés & Définitions

• Consentement : La personne concernée doit donner son accord de manière libre, spécifique, éclairée et univoque, par un acte positif clair, pour que ses données soient traitées (RGPD, art 6, al 1, a). **(Source : RGPD, art 6)

• Contrat : Le traitement des données est licite si nécessaire à l’exécution d’un contrat auquel la personne concernée est partie, ou pour prendre des mesures à sa demande avant la conclusion du contrat (RGPD, art 6, al 1, b). (Source : RGPD, art 6)

• Obligation légale : Le traitement est licite si imposé par une obligation légale à laquelle le responsable de traitement est soumis (RGPD, art 6, al 1, c). (Source : RGPD, art 6)

• Mission d’intérêt public : Le traitement est légitime lorsqu’il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable de traitement (RGPD, art 6, al 1, e). (Source : RGPD, art 6)

• Intérêt légitime : Le traitement est licite si poursuivi par le responsable ou un tiers dans le cadre de ses intérêts légitimes, sauf si prévalent les intérêts ou les droits fondamentaux de la personne concernée (RGPD, art 6, al 1, f). (Source : RGPD, art 6)

• Sauvegarde des intérêts vitaux : Le traitement est licite si nécessaire pour sauvegarder les intérêts vitaux de la personne concernée ou d’un tiers, notamment en cas d’urgence médicale (RGPD, art 6, al 1, d). (Source : RGPD, art 6)

📝 Points essentiels

• La licéité du traitement repose sur une des six bases légales mentionnées à l’article 6 du RGPD, qui doivent être appliquées en fonction du contexte spécifique de chaque traitement (RGPD, art 6).
• La base légale doit être clairement identifiée et documentée pour assurer la conformité du traitement.
• La gestion des finalités doit respecter la base légale choisie, notamment en cas de traitement multiple, chaque finalité doit reposer sur une base légale appropriée.
• La légitimité (voir section 3) est une des bases principales, mais doit être équilibrée avec les droits de la personne concernée.

💡 À retenir

Les traitements de données doivent toujours reposer sur une base légale précise parmi les six prévues par le RGPD, afin d’assurer leur licéité et la protection des droits des personnes concernées.

📖 5. Minimisation des données

🔑 Notions clés & Définitions

• Principe de minimisation des données : principe selon lequel les données à caractère personnel doivent être limitées à ce qui est strictement nécessaire pour atteindre la finalité du traitement (voir AUTEUR (date)).
• Données adéquates, pertinentes et limitées à la finalité : notion selon laquelle seules les données nécessaires, pertinentes et proportionnées à la finalité du traitement doivent être collectées (voir AUTEUR (date)).
• Exemples d’informations non nécessaires selon la finalité : données qui ne sont pas utiles ou justifiées par la finalité du traitement, telles que la collecte de données excessives ou hors contexte (voir AUTEUR (date)).

📝 Points essentiels

• Le principe de minimisation impose que la collecte et le traitement des données soient limités à ce qui est strictement nécessaire pour atteindre la finalité poursuivie, évitant ainsi toute collecte excessive ou superflue (voir AUTEUR (date)).
• La pertinence et la limitation des données doivent être évaluées en fonction de la finalité spécifique du traitement. Par exemple, lors de la gestion courante du personnel, il n’est pas nécessaire de recueillir le statut marital ou une copie des diplômes si ces données ne sont pas directement liées à la gestion RH (voir AUTEUR (date)).
• La application pratique du principe se traduit par une analyse préalable des données à collecter, en évitant notamment la collecte de données non pertinentes, comme la localisation géographique dans une application de géolocalisation si cela n’est pas nécessaire pour le service (voir AUTEUR (date)).
• La limitation doit également s’appliquer lors de la conservation, en ne conservant que les données nécessaires pour la durée strictement requise à la finalité (voir AUTEUR (date)).

💡 À retenir

Le principe de minimisation des données garantit que seules les informations strictement nécessaires à la finalité du traitement sont collectées, évitant ainsi toute surcharge ou intrusion inutile dans la vie privée des personnes concernées.

📖 6. Durée de conservation

🔑 Notions clés & Définitions

• Durée de conservation : Période pendant laquelle les données à caractère personnel sont conservées par le responsable du traitement, en fonction de l’objectif initial de la collecte.
• Détermination de la durée par le responsable de traitement selon finalité : Principe selon lequel la durée de conservation doit être fixée en fonction de l’usage prévu des données, conformément à la finalité du traitement (voir aussi "Durée de conservation").
• Exemples de durées légales ou recommandées : Durées fixées par la loi ou par recommandations pour certains types de données, telles que 5 ans pour les documents comptables ou 2 ans pour les données liées à une relation commerciale (voir aussi "Durée de conservation").
• Point à retenir : La durée de conservation doit être limitée dans le temps, proportionnée à la finalité du traitement, et déterminée par le responsable de traitement en fonction de cette finalité.

📝 Points essentiels

La durée de conservation des données doit être déterminée par le responsable de traitement en fonction de l’objectif ayant conduit à leur collecte, conformément au principe de limitation de la conservation. La CNIL recommande de fixer cette durée en lien avec la finalité du traitement, évitant ainsi une conservation excessive ou indéfinie (voir aussi "Détermination de la durée par le responsable de traitement selon finalité").

Des exemples concrets illustrent cette recommandation :

• Le temps de travail effectif des salariés : 1 mois, 3 ans ou 5 ans selon la nature des données (voir page 2).
• La fiche d’un client après une relation commerciale : 3 ans (voir page 2).
• Les enregistrements vidéo pour la sécurité : 1 mois, 3 ans ou 5 ans selon le contexte (voir page 2).
• Les informations transmises lors d’un recrutement : 2 ans (voir page 2).
• Les bulletins de paye : toute la durée du contrat (voir page 2).

Il est crucial que cette durée soit respectée pour éviter toute conservation indue, conformément au principe de minimisation (voir aussi "Durée de conservation").

💡 À retenir

La durée de conservation doit être fixée par le responsable de traitement en fonction de la finalité du traitement, en respectant le principe de limitation dans le temps, pour garantir la conformité au RGPD et éviter la conservation excessive des données.

📖 7. Archivage des données

🔑 Notions clés & Définitions

• Archivage électronique des données personnelles : Pratiques de conservation des données à caractère personnel sous forme électronique, visant à préserver leur intégrité, leur accessibilité et leur conformité aux exigences légales, comme le précise la loi du 6 janvier 1978 modifiée (voir aussi la définition de la CNIL).
• Trois niveaux d’archivage : Classification des données selon leur usage et leur intérêt administratif ou historique, comprenant les archives courantes, intermédiaires et définitives.
• Archives courantes (CNIL) : Données d’utilisation quotidienne par les services, nécessaires pour le fonctionnement immédiat de l’organisation.
• Archives intermédiaires (CNIL) : Données conservées pour un intérêt administratif encore pertinent, mais moins fréquemment consultées.
• Archives définitives (CNIL) : Données présentant un intérêt historique, scientifique ou statistique, justifiant leur conservation sans destruction.

📝 Points essentiels

L’archivage électronique des données personnelles doit respecter la loi du 6 janvier 1978 modifiée, qui encadre la conservation, la sécurité et la finalité des données. La CNIL distingue trois niveaux d’archivage :

• Courantes : Données utilisées quotidiennement, telles que les fiches de paye dématérialisées ou les dossiers clients lors d’un contrat.
• Intermédiaires : Données conservées pour des raisons administratives, comme le bilan social ou le contentieux avec un client.
• Définies : Données à valeur historique ou scientifique, telles que le bilan social dans les grandes entreprises ou les factures d’un client.

La gestion efficace de ces niveaux permet de respecter le principe de minimisation, d’assurer la sécurité des données, et de faciliter leur traçabilité et leur restitution en cas de litige ou de contrôle. La CNIL recommande de classer et de conserver ces données en fonction de leur intérêt et de leur finalité, tout en respectant la durée de conservation adaptée à chaque niveau.

💡 À retenir

L’archivage électronique des données personnelles doit suivre une politique structurée en trois niveaux (courantes, intermédiaires, définitives), permettant de concilier conformité légale, sécurité et intérêt administratif ou historique.

📖 8. Sous-traitance et garanties

🔑 Notions clés & Définitions

• Obligations des sous-traitants (article 28 RGPD) : Les sous-traitants doivent présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité, notamment en matière de traitement des données personnelles (article 28 RGPD, 2016).
• Garanties suffisantes pour sécurité et confidentialité : Les sous-traitants doivent mettre en place des mesures techniques et organisationnelles adaptées pour protéger les données, conformément aux exigences du RGPD, afin d’assurer leur confidentialité, intégrité et disponibilité (article 28 RGPD).
• Obligation de notifier les violations de données : En cas de violation de données à caractère personnel, le sous-traitant doit notifier cette violation au responsable du traitement sans délai, conformément à l’article 33 du RGPD, pour permettre une gestion appropriée du risque.
• Suppression des données à la fin de la prestation : À l’issue du contrat, le sous-traitant doit, sauf obligation légale contraire, supprimer ou restituer toutes les données personnelles traitées, conformément à l’article 28 RGPD, garantissant ainsi la confidentialité post-traitement.

📝 Points essentiels

• Selon article 28 RGPD (2016), les sous-traitants doivent fournir des garanties suffisantes pour assurer la sécurité et la confidentialité des données traitées pour le compte du responsable.
• La notification des violations de données est une obligation spécifique, permettant au responsable de traitement de réagir rapidement face à une faille de sécurité, conformément à l’article 33 du RGPD.
• La suppression des données à la fin de la prestation est une obligation pour éviter toute conservation indue, sauf si une obligation légale impose leur conservation (article 28 RGPD).
• Ces obligations visent à renforcer la responsabilité partagée entre le responsable et le sous-traitant, en assurant une protection optimale des données personnelles tout au long du traitement.
• La garantie de sécurité et confidentialité doit être démontrée par le sous-traitant, notamment par la tenue d’un registre des traitements et la mise en œuvre de mesures techniques adaptées.

💡 À retenir

Les sous-traitants doivent fournir des garanties suffisantes pour la sécurité, notifier toute violation de données, et supprimer les données à la fin de leur mission, conformément au RGPD, afin d’assurer une protection renforcée des données personnelles.

📖 9. Transferts internationaux

🔑 Notions clés & Définitions

• Encadrement des transferts internationaux de données : Ensemble des règles et mécanismes mis en place par le RGPD pour réguler la transmission de données personnelles en dehors de l’Union européenne, afin de garantir un niveau de protection adéquat (voir aussi « Protection adéquate des pays destinataires »).
• Protection adéquate des pays destinataires : Situation où un pays tiers offre un niveau de protection des données personnelles considéré comme équivalent à celui de l’UE, permettant un transfert sans mesures supplémentaires (voir « Protection suffisante »).
• Protection suffisante : Critère selon lequel un pays ou une organisation offre des garanties suffisantes pour assurer la sécurité et la confidentialité des données transférées, conformément aux exigences du RGPD.
• Cas des transferts vers des pays hors UE via cloud ou centres d’appel : Situation spécifique où des données sont transférées vers des serveurs ou centres d’appel situés hors UE, notamment dans le contexte du cloud ou de sous-traitance, nécessitant une évaluation du niveau de protection du pays ou la mise en place de garanties appropriées.
• Exemples de pays avec ou sans protection suffisante : La CNIL et la Commission européenne établissent une liste de pays considérés comme offrant une protection adéquate (ex : Belgique, Belgique, Suisse), tandis que d’autres, comme les États-Unis ou certains pays africains, nécessitent des mesures complémentaires (voir « Transferts vers des pays hors UE via cloud ou centres d’appel »).

📝 Points essentiels

• Le RGPD encadre strictement les transferts de données hors de l’UE pour préserver la protection des personnes concernées (voir Encadrement des transferts internationaux de données).
• La protection du pays destinataire doit être « adéquate » ou faire l’objet de garanties appropriées, telles que des clauses contractuelles types ou des règles contraignantes d’entreprise (voir Protection adéquate des pays destinataires et Protection suffisante).
• La liste des pays avec une protection suffisante est établie par la Commission européenne, mais certains pays hors UE, comme la Roumanie ou la Belgique, sont considérés comme offrant une protection adéquate, contrairement à d’autres comme le Sénégal ou la Tunisie.
• Lorsqu’un transfert est effectué vers des pays sans protection suffisante, il doit être encadré par des garanties contractuelles ou techniques, notamment dans le cadre de transferts via cloud ou centres d’appel (voir Cas des transferts vers des pays hors UE via cloud ou centres d’appel).
• La CNIL fournit des ressources pour évaluer la légalité des transferts et mettre en œuvre les garanties nécessaires, notamment via des mécanismes comme les clauses contractuelles types ou le Privacy Shield (qui a été invalidé en 2020).

💡 À retenir

Le transfert international de données doit respecter un encadrement strict, en privilégiant les pays offrant une protection adéquate ou en mettant en place des garanties suffisantes, notamment dans le contexte des transferts vers des pays hors UE via cloud ou centres d’appel.

📖 10. Sécurité des données

🔑 Notions clés & Définitions

• Mesures de sécurité des données personnelles : Ensemble des dispositifs techniques et organisationnels visant à protéger les données contre la perte, l’accès non autorisé, la divulgation ou la destruction, conformément à la réglementation (voir AUTEUR (date)).
• Obligations de confidentialité des employés : Engagements imposés aux salariés traitant des données personnelles de garantir leur secret et leur sécurité, notamment par des clauses contractuelles ou de formation (voir AUTEUR (date)).
• Garanties techniques et organisationnelles : Moyens mis en œuvre pour assurer la sécurité des données, incluant la gestion des accès, la cryptographie, la formation du personnel, et la mise en place de procédures (voir AUTEUR (date)).
• Notification des violations de données : Obligation légale d’alerter l’autorité compétente (CNIL) et, dans certains cas, les personnes concernées, en cas de fuite ou de piratage de données, dans un délai précis (voir AUTEUR (date)).

📝 Points essentiels

Les mesures de sécurité des données personnelles sont fondamentales pour respecter le principe de confidentialité et éviter les violations. La CNIL recommande la mise en place de garanties techniques (cryptage, pare-feu, sauvegardes régulières) et organisationnelles (formation, procédures d’accès contrôlé).
Les obligations de confidentialité des employés s’inscrivent dans la nécessité de limiter l’accès aux données aux seules personnes habilitées, sous peine de sanctions disciplinaires ou pénales.
La notification des violations de données est une étape obligatoire prévue par le RGPD (article 33), qui doit être effectuée dans les 72 heures suivant la constatation de la faille, pour limiter l’impact et respecter la transparence.
Les garanties techniques et organisationnelles doivent être documentées dans une politique de sécurité, et leur non-respect peut entraîner des sanctions administratives ou financières.
Le point à retenir : La sécurité des données personnelles repose sur un ensemble cohérent de mesures techniques et organisationnelles, renforcées par la sensibilisation des employés et la conformité à la réglementation (voir AUTEUR (date)).

💡 À retenir

La protection des données personnelles exige la mise en œuvre de garanties techniques et organisationnelles adaptées, ainsi que le respect des obligations de confidentialité des employés et la notification rapide en cas de violation.

📖 11. Obligations du responsable

🔑 Notions clés & Définitions

• Obligation de transparence : Engagement du responsable de traitement à fournir une information claire, compréhensible et complète aux personnes concernées sur le traitement de leurs données, conformément aux articles 12, 13 et 14 du RGPD (voir aussi "Information transparente et complète" en section 11).
• Tenue du registre des activités de traitement : Obligation pour le responsable de documenter ses traitements de données personnelles dans un registre précis, permettant de démontrer la conformité au RGPD (voir aussi "registre des activités de traitement").
• Analyse d’impact relative à la protection des données (AIPD) : Examen préalable des risques liés à certains traitements de données, notamment ceux susceptibles d’engendrer des risques élevés pour les droits et libertés des personnes, conformément à l’article 35 du RGPD (voir aussi "Analyse d’impact").
• Respect des droits des personnes concernées : Engagement du responsable à garantir l’exercice des droits des individus (droit d’accès, de rectification, d’effacement, etc.) en conformité avec le RGPD (voir aussi "Respect des droits").
• Obligation de transparence et consentement : Nécessité pour le responsable d’obtenir un consentement libre, éclairé, spécifique et univoque pour certains traitements, et de fournir une information adaptée pour assurer la légitimité du traitement (voir aussi "Information transparente et complète" et "Obligation de transparence").

📝 Points essentiels

• Le responsable de traitement doit assurer une information transparente et complète aux personnes concernées, notamment via une notice d’information accessible (voir "Information transparente et complète").
• La tenue du registre des activités de traitement est obligatoire pour documenter tous les traitements réalisés, facilitant la preuve de conformité et la gestion des risques (voir "registre des activités de traitement").
• Lors de traitements à risque élevé, une analyse d’impact doit être réalisée pour anticiper et limiter les risques pour les droits et libertés des personnes (voir "Analyse d’impact").
• Le respect des droits des personnes concernées doit être garanti par des procédures permettant leur exercice effectif (voir "Respect des droits").
• L’obligation de transparence et consentement impose au responsable d’obtenir un accord explicite pour certains traitements, notamment via des formulaires ou notices d’information (voir "Obligation de transparence et consentement").

💡 À retenir

Le responsable de traitement doit assurer une gestion transparente, documentée et respectueuse des droits des personnes concernées, notamment par la tenue d’un registre, la réalisation d’analyses d’impact lorsque nécessaire, et la garantie d’un consentement éclairé.

📊 Tableaux de Synthèse

Thème	Notions clés	Points importants	Auteur / Référence
Traitement des données personnelles	Définition (RGPD, art 4), traitement (opérations sur données)	Largeur de la définition, encadrement par la finalité	RGPD, art 4
Finalités du traitement	But précis, explicite, légitime (art 5b RGPD)	Obligation d'informer la personne, lien avec le consentement	RGPD, art 5b
Consentement éclairé	Libre, spécifique, éclairé, acte positif clair	Exclut consentement implicite, importance de la preuve	Préambule RGPD, art 4(11)
Bases légales du traitement	Consentement, contrat, obligation légale, intérêt légitime	Nécessité d'une base légale pour la licéité	RGPD, art 6

⚠️ Pièges & Confusions Fréquentes

1. Confondre données à caractère personnel et données anonymisées.
2. Penser que le consentement implicite est valable : il ne l’est pas, seul le acte positif clair l’est.
3. Omettre d’informer la personne de la finalité du traitement, ce qui viole le principe de transparence.
4. Utiliser les données pour une finalité différente sans nouvelle information ou consentement.
5. Confondre la notion de traitement avec celle de collecte ou stockage uniquement.
6. Ignorer la nécessité de conserver la preuve du consentement.
7. Croire que le traitement pour des finalités multiples est automatique sans transparence.
8. Sous-estimer l’importance de la limitation de la durée de conservation.

✅ Checklist Examen

1. Connaître la définition de données à caractère personnel selon le RGPD (art 4).
2. Expliquer le principe de finalité selon l’article 5b RGPD.
3. Définir un traitement conforme et un traitement non conforme à la finalité.
4. Comprendre la notion de consentement éclairé, libre, spécifique et acte positif clair (préambule RGPD, art 4(11)).
5. Identifier les formes valides et invalides de consentement.
6. Connaître les bases légales du traitement selon l’article 6 RGPD : consentement, contrat, obligation légale, intérêt légitime.
7. Maîtriser la notion de transparence et l’obligation d’informer la personne concernée.
8. Savoir ce qu’est la minimisation des données et ses implications.
9. Connaître la durée de conservation recommandée et la procédure d’archivage.
10. Comprendre les garanties nécessaires lors de sous-traitance et transferts internationaux.
11. Identifier les mesures de sécurité des données (techniques et organisationnelles).
12. Connaître les obligations du responsable du traitement selon le RGPD.