Qu’est ce qui doit être déclarer à la CNIL ? 

Tous les traitements de données à caractère personnel ont en principe l’obligation de faire l’objet de formalités préalables auprès de la CNIL, sous peine de sanctions pénales, administratives et civiles. Vrai ou Faux :

Le type et la quantité de données à caractère personnel qu’une entreprise/organisation peut traiter dépendent de la raison pour laquelle elles sont traitées (raison juridique utilisée) et du but dans lequel elles le sont. Vrai ou Faux :

Les données à caractère personnel doivent être traitées de manière licite et transparente, en garantissant la loyauté envers les personnes dont les données à caractère personnel sont traitées («licéité, loyauté et transparence»). Vrai ou Faux.

Cas pratique : Votre entreprise/organisation gère une agence de voyages. En recevant les données à caractère personnel de vos clients,  que devez-vous faire ? Cochez la ou les bonnes cases :

Il doit y avoir des finalités spécifiques pour traiter les données et l’entreprise/organisation doit indiquer ces finalités aux personnes concernées lorsqu’elle collecte leurs données à caractère personnel; une entreprise/organisation ne peut pas simplement collecter des données à caractère personnel pour des finalités non déterminées («limitation des finalités»). Vrai ou Faux ?

L’entreprise/organisation doit s’assurer que les données à caractère personnel sont exactes et tenues à jour au regard des finalités pour lesquelles elles sont traitées, et les corriger le cas échéant («exactitude»). Vrai ou Faux

L’entreprise/organisation ne peut plus utiliser les données à caractère personnel pour d’autres finalités qui ne sont pas compatibles avec la finalité pour laquelle elles ont été initialement collectées. Vrai ou Faux :

L’entreprise/organisation doit s’assurer que les données à caractère personnel ne sont pas conservées plus longtemps que nécessaire pour atteindre les finalités pour lesquelles elles ont été collectées («limitation de la conservation»)

L’entreprise/organisation doit mettre en place des mesures techniques et organisationnelles appropriées qui garantissent la sécurité des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de la technologie appropriée («intégrité et confidentialité»). Vrai ou Faux :

L’entreprise/organisation doit mettre en place des mesures techniques et organisationnelles appropriées qui garantissent la sécurité des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de la technologie appropriée («intégrité et confidentialité»).

Peut-on traiter les données pour toutes les finalités? Cochez la bonne case ?

Peut-on utiliser les données à d’autres fins ? Cochez la bonne case :

Une banque a un contrat avec un client pour lui fournir un compte bancaire et un prêt personnel. À la fin de la première année, la banque utilise les données à caractère personnel du client pour vérifier s’il est éligible à un meilleur type de prêt et à un plan d’épargne. Quelles sont les conditions pour un traitement ultérieur des données ? Cochez la ou les bonnes cases :

Une banque a un contrat avec un client pour lui fournir un compte bancaire et un prêt personnel. À la fin de la première année, la banque souhaite partager les données du client avec des compagnies d’assurance, en s’appuyant sur le même contrat relatif à un compte bancaire et à un prêt personnel. A t-elle le droit ? Cochez la ou les bonnes cases :

Doit-on de préférence collecter les données anonymement ? Cochez la bonne case :

Votre entreprise/organisation propose des services de covoiturage à des personnes. Pour ces services, elle peut demander  quelles informations ? Cochez la ou les bonnes cases :

Combien de temps peut-on garder les données et doivent-elles être mises à jour? Cochez la bonne case :

Votre entreprise/organisation gère un bureau de recrutement et, à cette fin, elle collecte les CV de personnes à la recherche d’un emploi qui, en échange de ses services intermédiaires, lui versent une commission. Vous prévoyez de conserver les données pendant 20 ans et vous ne prenez aucune mesure pour mettre à jour les CV. Est-ce adapté ? Cochez la bonne case :

Quelles informations doit-on donner aux personnes dont les données sont collectées?

Sous quelle modalité les informations peuvent être données aux personnes dont les données sont collectées ? Cochez la  bonne case :

Peut-on faire payer les informations  données aux personnes dont les données sont collectées ? Cochez la bonne case :

Quand les données sont obtenues auprès d’une autre entreprise/organisation, votre entreprise/organisation doit fournir les informations reprises  à la personne sous quel délai ? Cochez la bonne case :

Le règlement (UE) 2016/679 du Parlement européen et du Conseil¹, nouveau règlement général sur la protection des données («RGPD») réglemente le traitement par une personne, une entreprise ou une organisation des données à caractère personnel concernant des personnes au sein de l’UE.

Il ne s’applique pas au traitement des données à caractère personnel des personnes décédées ou des personnes morales.

Les règles ne s’appliquent pas aux données traitées par une personne à des fins purement personnelles ou dans le cadre d’une activité domestique, à condition qu’il n’y ait aucun lien avec une activité professionnelle ou commerciale. Lorsqu’une personne utilise les données à caractère personnel en dehors de la «sphère privée», par exemple dans le cadre d’activités sociales et culturelles ou financières, elle est alors tenue de respecter la législation en matière de protection des données. Vrai ou Faux

Une entreprise établie dans l’UE propose des services de voyage à des clients provenant des États baltes. À cette fin, elle traite les données à caractère personnel de personnes physiques. Est-ce que le RGPD s’applique, cochez la bonne case :

Une personne utilise son carnet d’adresses privé pour inviter par e-mail des amis à une soirée qu’elle organise (exception domestique). Est-ce que le RGPD s’applique ? Cochez la bonne case :