Ficha de revisão: Principes et règles du RGPD

📋 Plan du Cours

1. Principes fondamentaux RGPD
2. Règles d’or RGPD
3. Finalité du traitement
4. Licéité du traitement
5. Minimisation des données
6. Protection particulière données
7. Conservation limitée
8. Sécurité des données
9. Transparence et droits
10. Droits des personnes
11. Transferts hors UE

📖 1. Principes fondamentaux RGPD

🔑 Notions clés & Définitions

• Licéité du traitement : Condition selon laquelle un traitement de données personnelles doit être basé sur une des six bases légales prévues par le RGPD (ex : consentement, contrat, obligation légale, etc.) pour être considéré comme légal.

• Finalité du traitement : Objectif précis et légitime pour lequel les données personnelles sont collectées, enregistrées, exploitées ou conservées. La finalité doit être déterminée, explicite et respecter la légitimité.

• Minimisation des données : Principe selon lequel seules les données strictement nécessaires à la réalisation de la finalité doivent être collectées et traitées. Elle vise à limiter la quantité de données pour respecter la vie privée.

• Protection particulière des données sensibles : Disposition spécifique qui interdit, en principe, le traitement de données sensibles (origines raciales, opinions politiques, santé, etc.), sauf exceptions strictement encadrées (consentement explicite, intérêt vital, etc.).

• Conservation limitée des données : Règle imposant de ne pas conserver les données au-delà de la durée nécessaire à la finalité, en permettant leur effacement, anonymisation ou archivage sécurisé une fois l’objectif atteint.

• Droits des personnes : Ensemble des droits conférés aux individus pour contrôler leurs données personnelles (droit d’accès, de rectification, d’effacement, d’opposition, etc.), garantissant leur maîtrise sur leurs informations.

Point à retenir

Les principes fondamentaux du RGPD assurent que le traitement des données personnelles est licite, transparent, limité dans le temps et respectueux des droits des individus, afin de garantir leur protection et instaurer la confiance.

📖 2. Règles d’or RGPD

🔑 Notions clés & Définitions

Notion	Définition	Exemple / Commentaire
Licéité du traitement	Condition légale permettant la mise en œuvre d’un traitement de données personnelles.	Un traitement basé sur le consentement ou une obligation légale.
Finalité	Objectif précis et légitime pour lequel les données sont collectées et traitées.	Gestion d’une commande ou d’un recrutement.
Minimisation des données	Principe selon lequel seules les données nécessaires à la finalité doivent être collectées.	Recueillir uniquement le nom et prénom pour une inscription.
Données sensibles	Catégories de données à forte valeur protégée, révélant l’origine, la santé, etc.	Données médicales, opinions politiques.
Conservation limitée	Obligation de ne pas conserver les données au-delà de leur finalité.	Suppression ou anonymisation après traitement.
Droit des personnes	Ensemble des droits permettant aux individus de contrôler leurs données.	Droit d’accès, de rectification, d’effacement.

📝 Points essentiels

• La licéité du traitement repose sur au moins une des six conditions prévues par le RGPD (consentement, contrat, obligation légale, etc.).
• La finalité doit être déterminée, explicite et légitime, évitant tout détournement ou usage non prévu.
• La minimisation impose de limiter la collecte aux seules données nécessaires, en évitant la collecte excessive ou facultative.
• Les données sensibles nécessitent un traitement encadré, souvent basé sur le consentement explicite ou des exceptions légales.
• La conservation limitée impose de supprimer, anonymiser ou archiver les données dès que leur objectif est atteint.
• Les droits des personnes incluent l’accès, la rectification, l’effacement, la limitation du traitement, la portabilité et l’opposition.

💡 À retenir

Les règles d’or du RGPD garantissent la sécurité juridique, la transparence et la confiance en encadrant strictement la collecte, l’utilisation et la conservation des données personnelles.

📖 3. Finalité du traitement

🔑 Notions clés & Définitions

• Finalité : Objectif précis et légitime pour lequel les données personnelles sont collectées, enregistrées, exploitées ou conservées par un organisme. Elle doit être déterminée, explicite et conforme à la législation (RGPD, loi Informatique et Libertés).
• Détermination de la finalité : Processus de définition claire et précise de l’objectif du traitement, avant sa mise en œuvre, pour garantir la légalité et la transparence.
• Finalité compatible : Possibilité de réutiliser des données pour une nouvelle finalité si celle-ci est en lien avec la finalité initiale, sous réserve de respecter la législation et d'informer les personnes concernées.
• Détournement de finalité : Utilisation des données à des fins non prévues ou non autorisées lors de leur collecte, ce qui constitue une violation des principes de protection des données.
• Périmètre d’exploitation : Limitation de l’usage des données à l’objectif défini, incluant la durée de conservation, les personnes habilitées, et les modalités d’utilisation.
• Point à retenir : La finalité doit être précise, légitime et connue des personnes concernées, car elle détermine l’ensemble des traitements et leur cadre juridique.

📝 Points essentiels

• La finalité doit être définie avant la collecte des données, claire et compréhensible pour les personnes concernées.
• Elle doit respecter la législation en vigueur (RGPD, loi Informatique et Libertés) et être légitime par rapport à l’activité de l’organisme.
• Tout traitement doit avoir une finalité précise : il ne doit pas être effectué "à toutes fins utiles" ou dans l’attente d’une future utilisation.
• La réutilisation des données pour une nouvelle finalité est autorisée uniquement si cette dernière est compatible avec la finalité initiale, sous conditions de transparence et de respect des droits.
• Le non-respect de la finalité constitue un détournement de finalité, passible de sanctions pénales et administratives.

💡 À retenir

La finalité du traitement est le principe central qui encadre l’utilisation des données personnelles, garantissant leur usage légitime, transparent et conforme à la législation. Toute opération doit être justifiée par un objectif précis et connu.

📖 4. Licéité du traitement

🔑 Notions clés & Définitions

• Licéité du traitement : Condition selon laquelle un traitement de données personnelles est conforme au RGPD et à la législation applicable, permettant sa mise en œuvre légale.
• Base légale : Fondement juridique permettant de justifier un traitement de données personnelles, parmi lesquelles le consentement, l'exécution d'un contrat, une obligation légale, etc.
• Consentement : Manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte le traitement de ses données.
• Condition de licéité : Critère parmi les six prévues par l’article 6 du RGPD, qui doit être rempli pour que le traitement soit considéré comme légal.
• Détournement de finalité : Utilisation des données à des fins autres que celles initialement prévues et communiquées à la personne concernée, constituant une violation du principe de finalité.
• Nécessité : Principe selon lequel le traitement doit être strictly nécessaire à la réalisation de la finalité poursuivie, évitant la collecte ou l’utilisation superflue de données.

📝 Points essentiels

• Le traitement de données doit reposer sur une des six conditions de licéité (ex. consentement, contrat, obligation légale, intérêt vital, mission d’intérêt public, intérêts légitimes).
• Le consentement doit être explicite, spécifique, éclairé et univoque, recueilli avant tout traitement.
• Le détournement de finalité, c’est-à-dire l’usage non prévu initialement, est strictement interdit et sanctionné pénalement ou administrativement.
• La licéité du traitement implique également la conformité à l’ensemble des autres principes du RGPD, comme la finalité, la minimisation, la sécurité, etc.
• La base légale doit être clairement identifiée et documentée pour justifier le traitement.

💡 À retenir

Le traitement des données personnelles doit toujours être fondé sur une base légale précise et respecter le principe de licéité, sous peine de sanctions pénales ou administratives.

📖 5. Minimisation des données

🔑 Notions clés & Définitions

• Minimisation des données : Principe selon lequel seules les données strictement nécessaires à la réalisation d’une finalité spécifique doivent être collectées et traitées.
• Pertinence : Caractère d’une donnée qui a un lien direct avec la finalité du traitement, justifiant sa collecte.
• Proportionnalité : Équilibre entre la nécessité de la donnée et son impact sur la vie privée, limitant la collecte aux informations indispensables.
• Exactitude des données : Obligation de maintenir les données à jour et de corriger ou supprimer celles qui sont inexactes ou obsolètes.
• Données facultatives : Informations non obligatoires à la finalité, dont la collecte doit être clairement communiquée et laissée au libre choix de la personne concernée.
• Vidéo-surveillance : Application du principe de minimisation à la vidéosurveillance, limitant le nombre, la zone filmée et la durée de conservation des images.

📝 Points essentiels

• La minimisation découle du principe de finalité : seules les données nécessaires doivent être collectées.
• La pertinence implique une relation directe entre la donnée et l’objectif poursuivi.
• La proportionnalité exige de limiter la collecte aux informations indispensables, en distinguant données obligatoires et facultatives.
• La mise à jour et la correction des données inexactes sont obligatoires pour respecter l’exactitude.
• En vidéosurveillance, il faut limiter la zone filmée, le nombre de caméras et la durée de conservation des images.
• La collecte de données doit être transparente, avec une information claire et un consentement si nécessaire.

💡 À retenir

La minimisation des données impose de ne recueillir que ce qui est strictement nécessaire pour atteindre l’objectif, en assurant leur pertinence, leur exactitude et leur proportionnalité.

📖 6. Protection particulière données

🔑 Notions clés & Définitions

• Données sensibles : Données à caractère personnel qui révèlent des informations sur l'origine raciale ou ethnique, opinions politiques, convictions religieuses, santé, orientation sexuelle, ou données biométriques. Leur traitement est, en principe, interdit sauf exceptions strictes (consentement explicite, nécessité médicale, etc.).

• Numéro de sécurité sociale (NIR) : Identifiant unique attribué à chaque individu dès la naissance, contenant des informations comme le sexe, la date et le lieu de naissance. Son traitement est encadré pour éviter tout usage détourné.

• Données relatives aux condamnations pénales et infractions : Informations concernant des infractions ou condamnations, traitées avec une grande rigueur juridique, réservées aux autorités judiciaires ou organismes habilités, afin de protéger la vie privée et éviter la constitution de casiers judiciaires privés.

• Consentement explicite : Manifestation claire, libre, spécifique, éclairée et univoque de la volonté de la personne concernée pour autoriser le traitement de ses données sensibles, souvent recueillie par une déclaration écrite ou un acte positif non précoché.

• Protection renforcée : Mesures juridiques spécifiques visant à garantir la sécurité et la confidentialité des données sensibles ou à risque élevé, limitant leur traitement aux seules situations prévues par la loi.

• Données relatives aux condamnations : Informations sur des infractions ou condamnations, leur traitement étant strictement encadré pour prévenir la création de fichiers privés et respecter la vie privée des individus.

📖 7. Conservation limitée

🔑 Notions clés & Définitions

• Conservation limitée : Principe selon lequel les données personnelles ne doivent pas être conservées au-delà de la durée nécessaire à la réalisation de la finalité pour laquelle elles ont été collectées.
• Durée de conservation : Période pendant laquelle les données doivent être stockées, déterminée soit par une durée fixe, soit par un critère objectif lié à la finalité.
• Effacement : Suppression définitive des données lorsque leur conservation n’est plus justifiée ou à la demande de la personne concernée.
• Anonymisation : Processus de modification des données permettant de ne plus identifier directement ou indirectement une personne, rendant leur réutilisation sans risque.
• Droit à l’oubli : Droit pour une personne de demander la suppression de ses données lorsque leur conservation n’est plus justifiée ou qu’elle retire son consentement.
• Archivage : Conservation des données dans un but historique ou statistique, sous conditions strictes, après que leur finalité initiale est atteinte.

📝 Points essentiels

• Les données doivent être conservées uniquement le temps nécessaire à leur finalité, puis effacées, anonymisées ou archivées.
• La durée de conservation doit être déterminée par le responsable du traitement, soit par une durée fixe, soit par un critère objectif (ex : durée de la relation contractuelle).
• La conservation prolongée sans justification constitue une violation du principe de conservation limitée et peut entraîner des sanctions.
• Lorsqu’une finalité est atteinte, il faut soit supprimer, soit anonymiser, soit archiver les données, en respectant les règles de sécurité et de transparence.
• Le droit à l’oubli permet aux personnes de demander la suppression de leurs données, renforçant la protection de leur vie privée.

💡 À retenir

La conservation limitée impose de ne stocker les données personnelles que le temps strictement nécessaire, afin de respecter la vie privée et d’éviter tout usage détourné ou abusif.

📖 8. Sécurité des données

🔑 Notions clés & Définitions

Notion	Définition	Point essentiel
Confidentialité	Garantie que seules les personnes autorisées ont accès aux données.	La protection contre tout accès non autorisé est fondamentale pour la sécurité des données.
Intégrité	Assurance que les données sont exactes, complètes et non modifiées.	La modification non autorisée ou accidentelle doit être empêchée pour préserver la fiabilité.
Disponibilité	Assurance que les données sont accessibles en temps voulu.	Les mesures doivent garantir un accès fiable aux données en cas de besoin.
Mesures de sécurité	Actions techniques et organisationnelles pour protéger les données.	Inclut le chiffrement, l'authentification, la sauvegarde, etc.
Risques liés à la sécurité	Probabilités d'incidents compromettant la sécurité des données.	La gestion des risques implique l'identification, l'évaluation et la prévention.
Breach de données (fuite)	Violation de la sécurité entraînant la divulgation ou la perte de données.	Doit être signalée rapidement aux autorités et aux personnes concernées selon la réglementation.

📝 Points essentiels

• La sécurité des données repose sur la mise en œuvre de mesures techniques (chiffrement, pare-feu) et organisationnelles (formation, politiques d’accès).
• La conformité au RGPD impose une obligation de sécurité pour protéger les données contre toute violation ou accès non autorisé.
• La gestion des risques doit être continue, avec une évaluation régulière des vulnérabilités.
• En cas de fuite de données, une notification doit être faite dans les délais légaux pour limiter les impacts.
• La sécurité doit être adaptée à la sensibilité des données traitées.

💡 À retenir

La sécurité des données est un ensemble de mesures visant à garantir leur confidentialité, intégrité et disponibilité, essentielles pour préserver la confiance et respecter la législation.

📖 9. Transparence et droits

🔑 Notions clés & Définitions

Notion	Définition	Exemple / Point essentiel
Transparence	Obligation d'informer les personnes concernées sur l’utilisation de leurs données.	Les responsables doivent communiquer clairement sur la finalité et les modalités du traitement.
Droits des personnes	Ensemble des prérogatives permettant aux individus de contrôler leurs données personnelles.	Droit d’accès, de rectification, d’effacement, d’opposition, etc.
Consentement	Manifestation de volonté libre, spécifique, éclairée et univoque de la personne concernée pour autoriser le traitement de ses données.	Doit être donné par un acte positif clair, non pré-coché.
Droit à l’effacement (droit à l’oubli)	Droit pour une personne de demander la suppression de ses données personnelles.	S’applique lorsque la finalité n’est plus valable ou si le traitement est illicite.
Obligation de sécurité	Nécessité pour le responsable de traitement de mettre en œuvre des mesures pour protéger les données contre les accès non autorisés.	Chiffrement, contrôles d’accès, sauvegardes régulières.
Notion de finalité	Objectif précis pour lequel les données sont collectées et traitées.	La finalité doit être déterminée, explicite et légitime.

📝 Points essentiels

• La transparence est un principe fondamental du RGPD, visant à instaurer la confiance en informant clairement les personnes sur l’usage de leurs données.
• Les droits des personnes incluent notamment le droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité.
• Le consentement doit être spécifique, éclairé et donné par un acte positif, facilement rétractable.
• La sécurité des données implique la mise en œuvre de mesures techniques et organisationnelles pour prévenir tout accès non autorisé ou fuite.
• La notion de finalité impose que les données soient traitées uniquement pour des objectifs précis, légitimes et explicites.

💡 À retenir

La transparence et le respect des droits des personnes sont essentiels pour garantir la confiance et la légitimité du traitement des données personnelles, conformément au RGPD.

📖 10. Droits des personnes

🔑 Notions clés & Définitions

• Droit d’accès : Le droit pour une personne de demander la communication des données personnelles la concernant détenues par un organisme. Elle peut ainsi vérifier l’exactitude, la complétude et l’utilisation de ses données.

• Droit de rectification : Le droit de demander la correction ou la mise à jour des données personnelles inexactes, incomplètes ou périmées détenues par un responsable de traitement.

• Droit à l’effacement (droit à l’oubli) : Le droit pour une personne de demander la suppression de ses données personnelles lorsque leur traitement n’est plus nécessaire, ou si le traitement est illicite, ou si la personne retire son consentement.

• Droit à la limitation du traitement : Le droit de demander la suspension temporaire de l’utilisation de ses données personnelles, notamment en cas de contestation de leur exactitude ou de traitement illicite.

• Droit à la portabilité : Le droit de recevoir les données personnelles fournies à un organisme dans un format structuré, couramment utilisé, et de les transmettre à un autre responsable de traitement.

• Droit d’opposition : Le droit pour une personne de s’opposer, pour des motifs légitimes, au traitement de ses données personnelles, notamment en cas de traitement basé sur l’intérêt légitime ou le marketing direct.

📝 Points essentiels

• Ces droits doivent être exercés dans un délai raisonnable, généralement un mois, sauf exceptions.
• La personne doit pouvoir exercer ses droits facilement, notamment via un formulaire ou une demande écrite.
• Le responsable du traitement doit répondre à la demande et confirmer les actions entreprises.
• La loi impose aux organismes de mettre en place des procédures pour garantir l’exercice de ces droits.
• En cas de refus ou de non-respect, la personne peut saisir la CNIL ou engager une procédure judiciaire.

💡 À retenir

Les droits des personnes assurent leur maîtrise sur leurs données personnelles, renforçant ainsi la transparence et la confiance dans la gestion des informations par les organismes.

📖 11. Transferts hors UE

🔑 Notions clés & Définitions

Notion	Définition	Exemple / Commentaire
Transfert international	Envoi ou transmission de données personnelles d’un pays de l’UE vers un pays tiers (hors UE).	Envoi de données clients à une filiale située en dehors de l’UE.
Pays tiers	Pays qui ne font pas partie de l’Union européenne ou de l’Espace économique européen (EEE).	États-Unis, Chine, etc.
Adequacy Decision (Décision d’adéquation)	Décision de la Commission européenne reconnaissant qu’un pays tiers assure un niveau de protection des données équivalent à celui de l’UE.	États membres de l’EEE, certains pays comme la Suisse.
Garanties appropriées	Mesures ou mécanismes permettant d’assurer la protection des données lors d’un transfert vers un pays tiers, en l’absence de décision d’adéquation.	Clauses contractuelles types, règles d’entreprise contraignantes.
Clauses contractuelles types	Modèles de contrats approuvés par la Commission européenne pour encadrer les transferts de données en dehors de l’UE.	Contrats entre un responsable de traitement et un sous-traitant situé hors UE.
Exceptions au transfert	Situations où le transfert est autorisé sans garanties spécifiques, sous conditions strictes.	Consentement explicite de la personne, urgence vitale, etc.

Point à retenir

Les transferts de données hors UE sont encadrés par des mécanismes stricts visant à garantir un niveau de protection équivalent à celui prévu par le RGPD, notamment via des décisions d’adéquation ou des garanties appropriées.

📊 Tableaux de Synthèse

Principe / Règle	Définition / Exemples	Objectif principal
Licéité du traitement	Basé sur une des six conditions légales (ex : consentement, contrat, obligation légale)	Assurer la légalité du traitement
Finalité	Objectif précis, légitime, connu des personnes concernées	Garantir la transparence et la conformité
Minimisation des données	Collecter uniquement les données nécessaires à la finalité	Respecter la vie privée et limiter la collecte
Conservation limitée	Supprimer ou anonymiser après l’usage nécessaire	Limiter la durée de stockage
Protection particulière des données sensibles	Interdiction sauf exceptions (consentement explicite, intérêt vital)	Protéger les données à forte valeur sensible
Droits des personnes	Accès, rectification, effacement, opposition, portabilité	Permettre aux individus de contrôler leurs données
Transferts hors UE	Conditions strictes (ex : accord, clauses contractuelles)	Garantir la sécurité lors de transferts internationaux

⚠️ Pièges & Confusions Fréquentes

1. Confondre finalité et usage : utiliser les données pour une autre finalité sans respect de la législation constitue un détournement.
2. Négliger la minimisation : collecter plus de données que nécessaire, ce qui viole le principe.
3. Oublier que le consentement doit être spécifique, éclairé et librement donné, pas implicite.
4. Traiter des données sensibles sans respecter les conditions strictes (ex : absence de consentement explicite).
5. Ne pas respecter la durée de conservation : conserver des données au-delà de leur besoin légitime.
6. Ignorer les droits des personnes : ne pas permettre l’accès, la rectification ou l’effacement.
7. Transférer des données hors UE sans garanties suffisantes (ex : absence d’accord ou clauses adaptées).

✅ Checklist Examen

• Vérifier si le traitement repose sur une base légale conforme au RGPD.
• S’assurer que la finalité du traitement est clairement définie, légitime et connue des personnes.
• Confirmer que seules les données strictement nécessaires sont collectées (minimisation).
• Vérifier que la conservation des données est limitée dans le temps et conforme à la finalité.
• Identifier si des données sensibles sont traitées et si les conditions légales sont respectées.
• Vérifier que les droits des personnes (accès, rectification, effacement, opposition) sont garantis.
• S’assurer que les transferts de données hors UE respectent les conditions légales.
• Confirmer la mise en place de mesures de sécurité adaptées pour protéger les données.
• Vérifier la transparence : information claire et accessible sur le traitement.
• S’assurer que la finalité du traitement est documentée et justifiée.
• Vérifier la conformité des contrats avec les sous-traitants ou partenaires.
• Confirmer que le traitement ne détourne pas la finalité initiale.