Sensibilisation au RGPD¶

1. Objectif du cours¶

Expliquer les origines, les principes clés et les obligations du RGPD, ainsi que les rôles de la CNIL et du DPO, pour permettre une mise en conformité et une sensibilisation opérationnelle en entreprise.

2. Notions et définitions essentielles¶

RGPD : Règlement général sur la protection des données, adopté en 2016 et applicable depuis le 25 mai 2018.
Données personnelles : toute information permettant d'identifier une personne.
CNIL : Autorité française chargée de faire appliquer le RGPD et d'accompagner/sanctionner.
DPO : Délégué à la protection des données, conseiller chargé de veiller à la conformité au RGPD.
Consentement : accord explicite, spécifique, informé, libre et non manipulé pour traiter des données.

3. Fonctionnement et principes¶

Historique : le RGPD remplace et renforce la directive 95/46/CE (1995) pour répondre à l'évolution technologique.
Objectif : protéger les droits fondamentaux à la vie privée et garantir transparence et responsabilité des traitements.
Principes opérationnels : obtenir un consentement valide ; définir une finalité légitime et limitée ; minimiser les données collectées ; assurer l'exactitude et la mise à jour ; limiter la durée de conservation ; garantir la sécurité technique et organisationnelle.
Portée extraterritoriale : toutes les entités traitant des données de citoyens européens, même hors UE, sont soumises au RGPD.
Responsabilités : l'entreprise reste responsable de la mise en œuvre ; le DPO conseille, surveille et sert d'interface avec la CNIL.

4. Commandes et manipulations¶

Non abordé dans ce cours.

5. Sécurité et bonnes pratiques¶

Mettre en place des mesures techniques et organisationnelles pour protéger données contre vol et divulgation.
Documenter politiques, procédures et mesures de sécurité pour pouvoir démontrer la conformité.
Tenir un registre des violations et établir des procédures d'incident (analyse, prévention).
Notifier l'autorité de contrôle et, si nécessaire, les personnes concernées en cas de violation susceptible d'engendrer un risque élevé.
Former et sensibiliser régulièrement les employés au RGPD et aux bonnes pratiques.
Garantir au DPO autonomie, ressources et accès aux parties prenantes pour exercer ses missions efficacement.

6. Points essentiels à retenir pour le TSSR¶

Le RGPD est en vigueur depuis le 25 mai 2018 et remplace la directive 95/46/CE.
Six principes clés : consentement, finalité, minimisation, exactitude, limitation de conservation, sécurité.
Toute entreprise traitant les données de citoyens européens est concernée, y compris hors UE.
La CNIL contrôle, accompagne et peut sanctionner (amendes lourdes).
Le DPO est obligatoire pour les traitements à grande échelle ou les données sensibles ; il conseille, surveille et coopère avec la CNIL.
Les violations de données doivent être évaluées, consignées et potentiellement notifiées.
Les entreprises doivent pouvoir démontrer leur conformité (documentation, politiques, preuves).
La sensibilisation des employés et la mise en place de procédures sont indispensables pour réduire les risques.
Exemples concrets renforcent la nécessité : scandale Facebook–Cambridge Analytica illustrant l'impact réputationnel.
La responsabilité de mise en œuvre incombe à l'entreprise ; le DPO n'est pas le responsable opérationnel.

7. Tableau récapitulatif¶

Élément	Rôle principal	Obligations clés	Exemples/Conséquences
RGPD	Protection des droits et données	Respecter principes, documenter conformité	Application depuis 25/05/2018
CNIL	Autorité de contrôle (France)	Contrôles, accompagnement, sanctions	Guides, campagnes, audits
DPO	Conseiller et interface	Conseils, surveillance, formation, coopérer	Doit disposer de ressources et autonomie
Principes (synthèse)	Encadrer le traitement	Consentement, finalité, minimisation…	Limiter collecte et conservation
Violations	Gestion des incidents	Registre, notification si risque élevé	Notification à la CNIL et parfois aux personnes

8. Vérifications pratiques¶

Vérifier la présence d'une politique de conservation des données adaptée aux finalités.
Contrôler l'existence d'enregistrements prouvant le consentement explicite des personnes.
Confirmer qu'un registre des violations est tenu à jour et que les incidents sont analysés.
Vérifier la nomination du DPO quand les critères sont remplis et qu'il dispose de ressources.
S'assurer que des preuves documentées (procédures, formations, mesures de sécurité) permettent de démontrer la conformité.
Contrôler qu'une procédure de notification (CNIL et personnes concernées) est définie pour les incidents à risque élevé.

9. Flashcards Anki¶

Qu'est-ce que le RGPD ? :: Règlement général sur la protection des données adopté en 2016, applicable depuis le 25 mai 2018. Quelle directive le RGPD a-t-il remplacé ? :: La directive 95/46/CE (1995). Quels sont trois principes clés du RGPD ? :: Consentement, finalité, minimisation des données. Combien de principes clés le cours énumère-t-il ? :: Six (consentement, finalité, minimisation, exactitude, limitation de conservation, sécurité). Quelle autorité contrôle le RGPD en France ? :: La CNIL (Commission Nationale de l'Informatique et des Libertés). Quel est le rôle principal du DPO ? :: Conseiller sur la protection des données, surveiller la conformité et servir d'interface avec les autorités. Quelles entreprises doivent nommer un DPO ? :: Celles qui traitent de grandes quantités de données ou des données sensibles. Quel délai pour notifier une violation de données à l'autorité selon le cours ? :: Dans les 72 heures suivant la découverte si risque élevé. Quelles sanctions peuvent être infligées en cas de non-respect du RGPD ? :: Amendes pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel. Donner un exemple cité montrant l'impact d'une mauvaise gestion des données personnelles. :: L'affaire Facebook–Cambridge Analytica (divulgation de données et perte de confiance).