Quiz: Principes fondamentaux du RGPD — 24 Fragen

1. Quelles sont les trois conditions cumulatives exigées pour obtenir une réparation au titre de l’article 82 du RGPD ?

A. Une violation du RGPD, un dommage matériel ou moral, et un lien de causalité entre les deux

B. Une simple violation du RGPD, sans qu’un dommage soit nécessaire

C. Un dommage moral uniquement, même sans violation du RGPD

D. Une mise en demeure préalable de la CNIL, suivie d’un dommage prouvé

Answer: (A)

Erklärung

L’article 82 ouvre un droit à réparation seulement si trois éléments sont réunis : violation du RGPD, dommage matériel ou moral, et lien de causalité. L’absence de l’un de ces maillons suffit à écarter la réparation.

2. Qui peut être tenu de réparer un dommage causé par une violation du RGPD ?

A. Uniquement la personne concernée

B. Uniquement le responsable de traitement

C. Le responsable de traitement ou le sous-traitant

D. Uniquement la CNIL

Answer: (C)

Erklärung

Le texte prévoit que la réparation peut être demandée contre le responsable de traitement ou le sous-traitant. La CNIL n’est pas le débiteur de cette réparation.

3. Quel comportement caractérise une collecte déloyale au sens du RGPD ?

A. Une collecte limitée aux données strictement nécessaires

B. Une collecte réalisée à l’insu des personnes, même si les données sont accessibles en ligne

C. Une collecte effectuée après information de la personne concernée

D. Une collecte fondée sur une décision d’adéquation

Answer: (B)

Erklärung

La collecte déloyale vise notamment la collecte à l’insu des personnes, y compris lorsque les données sont disponibles sur internet. Le fait que les données soient accessibles en ligne ne suffit donc pas à rendre la collecte loyale.

4. Que doit indiquer l’information donnée à la personne concernée lors d’une collecte transparente ?

A. Uniquement le nom du responsable de traitement

B. Uniquement les éventuels transferts hors UE

C. Uniquement la durée de conservation des données

D. L’auteur de la collecte, les finalités poursuivies et les droits de la personne

Answer: (D)

Erklärung

La transparence impose d’indiquer qui collecte, pourquoi les données sont traitées et quels sont les droits de la personne. Cette information ne se confond pas avec le consentement.

5. Quel est le régime de principe applicable aux données sensibles au sens de l’article 9 du RGPD ?

A. Leur traitement n’est possible qu’avec une autorisation judiciaire systématique

B. Leur collecte est autorisée dès lors qu’elles sont publiques

C. Leur traitement est libre si la personne est informée

D. Leur collecte et leur traitement sont interdits sauf exception

Answer: (D)

Erklärung

Les données sensibles font l’objet d’une interdiction de principe de collecte et de traitement, sauf exceptions prévues par le RGPD. Le simple fait qu’elles soient publiques ne les rend pas librement traitables.

6. Quelle affirmation décrit le mieux le NIR ?

A. Une donnée sensible dont le traitement est interdit en toutes circonstances

B. Un numéro temporaire utilisé uniquement pour un traitement ponctuel

C. Un identifiant signifiant, unique, pérenne et facilitant les croisements de fichiers

D. Une donnée anonyme qui ne permet aucun rapprochement

Answer: (C)

Erklärung

Le NIR est particulièrement encadré car il est signifiant, unique et pérenne, et il facilite les croisements de fichiers. Il ne s’agit pas d’une donnée anonyme ni d’un simple identifiant temporaire.

7. Que signifie le principe de minimisation des données ?

A. Conserver toutes les données pour pouvoir anticiper tout litige

B. Demander systématiquement le consentement pour chaque donnée collectée

C. Ne collecter que des données adéquates, pertinentes et strictement nécessaires à la finalité

D. Supprimer toute donnée dès qu’elle est saisie

Answer: (C)

Erklärung

La minimisation impose de limiter la collecte et l’usage aux données nécessaires à la finalité visée. Elle ne commande ni la conservation massive ni la suppression immédiate de toute donnée.

8. Comment s’effectue le contrôle de proportionnalité évoqué dans le cours ?

A. Par une comparaison de la finalité avec l’activité, puis de la nature des données avec l’activité

B. Par une comparaison de la CNIL avec le sous-traitant

C. Par une comparaison du lieu de collecte avec le pays de destination

D. Par une comparaison du consentement avec l’effacement

Answer: (A)

Erklärung

Le double contrôle décrit consiste d’abord à rapprocher la finalité de l’activité du responsable, puis à vérifier que les données restent adaptées à cette activité. C’est une méthode d’appréciation de la proportionnalité.

9. Quel principe gouverne la durée de conservation des données personnelles ?

A. Les données doivent être conservées tant que la personne ne s’y oppose pas

B. Les données doivent être conservées seulement pendant le temps nécessaire à la finalité

C. Les données doivent être conservées jusqu’à la fin du mandat du responsable

D. Les données doivent être conservées pendant une durée uniforme de trois ans

Answer: (B)

Erklärung

Le RGPD impose une conservation limitée à ce qui est nécessaire au regard de la finalité du traitement. Il n’existe pas de durée universelle applicable à tous les traitements.

10. Que se passe-t-il en principe à l’issue de la durée de conservation déterminée ?

A. Les données sont automatiquement rendues publiques

B. Les données doivent être conservées sans limitation

C. Les données sont effacées, sauf exceptions prévues par le RGPD

D. Les données doivent être transmises à la CNIL

Answer: (C)

Erklärung

Le principe d’effacement impose la suppression des données à l’issue de la durée fixée, sauf exceptions comme les archives intermédiaires ou d’autres cas prévus par le RGPD. La conservation indéfinie n’est donc pas la règle.

11. Dans quel délai la notification d’une violation de données personnelles à la CNIL doit-elle être effectuée ?

A. Dans les 72 heures

B. Dans le mois

C. Dans les 24 heures

D. Dans les 7 jours

Answer: (A)

Erklärung

L’article 33 RGPD prévoit une notification à la CNIL dans les 72 heures lorsque cela est applicable. Ce délai est central en cas de violation de données personnelles.

12. Dans quel cas les personnes concernées doivent-elles être informées d’une violation de données ?

A. Seulement si le responsable le souhaite

B. Dès qu’une donnée est traitée, même sans incident

C. Uniquement après avis préalable de la CNIL

D. Lorsque la violation présente un risque élevé pour leurs droits

Answer: (D)

Erklärung

L’information des personnes est requise lorsque la violation fait peser un risque élevé sur leurs droits et libertés. Des dérogations existent, par exemple lorsque les données sont rendues illisibles par chiffrement.

13. Quel principe a permis de supprimer la plupart des formalités préalables auprès de la CNIL ?

A. L’interdiction de tout registre interne

B. L’obligation de demander une autorisation pour chaque traitement

C. Le principe d’internalisation des obligations et de responsabilisation

D. Le recours automatique au consentement pour tout traitement

Answer: (C)

Erklärung

Le RGPD a supprimé la plupart des formalités préalables en privilégiant la responsabilisation du responsable de traitement. La conformité se démontre surtout par des procédures et de la documentation internes.

14. Dans quel cas la consultation de la CNIL demeure-t-elle obligatoire ?

A. Pour tout transfert au sein de l’Union européenne

B. Pour certaines analyses d’impact présentant un risque élevé

C. Pour toute collecte de données sur papier

D. Pour toute suppression de données

Answer: (B)

Erklärung

L’article 36 RGPD impose une consultation obligatoire de la CNIL pour certaines analyses d’impact. Cette obligation subsiste malgré la disparition de la plupart des formalités préalables.

15. Quel énoncé décrit correctement les dérogations de l’article 49 du RGPD ?

A. Elles autorisent des transferts massifs et répétés sans limite

B. Elles dispensent de toute information de la personne concernée

C. Elles remplacent toujours les garanties appropriées

D. Elles sont d’interprétation stricte et doivent rester ponctuelles

Answer: (D)

Erklärung

L’article 49 permet certains transferts hors UE à titre dérogatoire, mais son usage doit rester strict et ponctuel. Il ne doit pas servir à organiser des transferts répétitifs ou massifs.

16. Quel cas peut fonder un transfert hors UE au titre de l’article 49 ?

A. Une absence totale d’information sur la destination

B. Une simple convenance administrative du responsable

C. Le consentement explicite de la personne après information des risques

D. Un transfert automatique vers tout pays tiers

Answer: (C)

Erklärung

Le consentement explicite informé fait partie des dérogations possibles de l’article 49. Mais ce mécanisme reste encadré et ne vaut pas autorisation générale de transfert.

17. Quel effet produit une décision d’adéquation ?

A. Elle autorise la libre circulation des données vers le pays tiers sans autorisation supplémentaire

B. Elle interdit tout transfert vers le pays concerné

C. Elle impose systématiquement une analyse d’impact

D. Elle remplace le droit d’information des personnes

Answer: (A)

Erklärung

Une décision d’adéquation constate qu’un pays offre un niveau de protection suffisant et permet le transfert sans procédure supplémentaire. Elle ne supprime pas les autres exigences du RGPD.

18. À quoi servent les garanties appropriées en l’absence de décision d’adéquation ?

A. À rendre le consentement inutile dans tous les cas

B. À remplacer le registre des traitements

C. À encadrer le transfert et à assurer un niveau de protection adéquat

D. À autoriser des transferts sans recours pour les personnes

Answer: (C)

Erklärung

Les garanties appropriées compensent l’absence d’adéquation en protégeant les droits des personnes et en encadrant le transfert. Elles doivent être opposables et offrir des voies de recours effectives.

19. Quelle est la logique centrale du principe d’accountability ?

A. Le responsable doit uniquement déclarer ses traitements à la CNIL

B. Le responsable doit être capable de démontrer sa conformité au RGPD

C. Le responsable n’a qu’à appliquer le RGPD sans le documenter

D. Le responsable peut déléguer toute responsabilité au sous-traitant

Answer: (B)

Erklärung

L’accountability exige non seulement de respecter le RGPD, mais aussi de pouvoir en apporter la preuve. La documentation et les procédures internes sont donc essentielles.

20. Quel est le rôle attendu du DPO dans la mise en conformité ?

A. Conserver les données à la place du service informatique

B. Piloter et encadrer les actions de conformité liées aux données personnelles

C. Valider chaque transfert hors UE à la place de la CNIL

D. Remplacer le responsable de traitement dans toutes ses décisions

Answer: (B)

Erklärung

Le DPO participe au pilotage de la conformité et organise le contrôle interne des règles relatives aux données personnelles. Il n’a pas vocation à se substituer au responsable de traitement.

21. Dans quel cas une étude d’impact au sens de l’article 35 du RGPD est-elle requise ?

A. Seulement quand les données sont publiques

B. Lorsqu’un traitement est susceptible de présenter un risque élevé pour les droits et libertés

C. Pour toute opération de suppression de données

D. Uniquement après une violation de données

Answer: (B)

Erklärung

L’article 35 vise les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes. L’étude d’impact sert précisément à évaluer et réduire ce risque.

22. Quelle affirmation correspond le mieux au principe de privacy by design ?

A. Attendre le contentieux pour organiser la sécurité

B. Ajouter la protection des données uniquement après un contrôle de la CNIL

C. Remplacer toutes les mesures techniques par une charte interne

D. Intégrer la protection des données dès la conception des traitements

Answer: (D)

Erklärung

Le privacy by design consiste à intégrer la protection des données dès le départ dans la conception des traitements et de l’organisation. L’objectif est de limiter les risques avant qu’ils ne se matérialisent.

23. Quel élément traduit valablement le consentement au sens du RGPD ?

A. Le simple silence de la personne

B. L’inactivité de la personne

C. Un acte positif clair, comme une case à cocher volontairement

D. Une case précochée par défaut

Answer: (C)

Erklärung

Le consentement doit résulter d’un acte positif clair, libre, spécifique, éclairé et univoque. Le silence, l’inaction ou les cases précochées ne suffisent pas.

24. Quel droit permet à une personne d’obtenir la suppression de ses données dans les cas prévus par le RGPD ?

A. Le droit à la limitation

B. Le droit à l’effacement

C. Le droit à la portabilité

D. Le droit d’accès

Answer: (B)

Erklärung

Le droit à l’effacement permet d’obtenir la suppression des données lorsque les conditions prévues par le RGPD sont réunies, par exemple si elles ne sont plus nécessaires ou si le traitement est illicite. Ce n’est pas le droit d’accès ni la portabilité.