RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 27 avril 2016 | relatif à la <b>protection des personnes physiques à l'égard du traitement des données à caractère personnel</b> et à la libre circulation de ces données (Règlement Général sur la Protection des Données - RGPD).
Selon le RGPD, comment l'évolution rapide des technologies et la mondialisation ont-elles impacté la protection des données ? | Elles ont créé de <b>nouveaux enjeux</b> et augmenté l'ampleur de la collecte et du partage de données par les entreprises privées et les autorités publiques.
Quel est l'objectif principal d'un cadre de protection des données solide et cohérent dans l'Union ? | Il est d'assurer un niveau élevé de protection des données, de susciter la confiance pour le développement de l'<b>économie numérique</b>, et de garantir que les personnes physiques aient le contrôle de leurs données.
Quel problème la directive 95/46/CE n'a-t-elle pas réussi à éviter, selon le RGPD ? | Une <b>fragmentation</b> de la mise en œuvre de la protection des données dans l'Union, menant à l'insécurité juridique.
Dans quel contexte le RGPD permet-il aux États membres de maintenir ou d'introduire des dispositions nationales pour préciser davantage les règles de protection ? | Lorsque le traitement est nécessaire à l'exécution d'une obligation légale, d'une <b>mission d'intérêt public</b> ou relevant de l'exercice de l'<b>autorité publique</b>.
Que signifie le principe de <b>neutralité technologique</b> dans la protection des personnes physiques au sens du RGPD ? | La protection devrait s'appliquer aux traitements de données à caractère personnel à l'aide de procédés <b>automatisés</b> ainsi qu'aux traitements <b>manuels</b> si les données sont contenues dans un fichier.
Quand le RGPD s'applique-t-il à un responsable de traitement non établi dans l'Union ? | Lorsque ses activités sont liées à l'<b>offre de biens ou de services</b> à des personnes concernées dans l'Union (avec ou sans paiement), ou au <b>suivi de leur comportement</b> au sein de l'Union.
Qu'est-ce qu'une <b>personne physique identifiable</b> au sens du RGPD ? | Une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant (nom, adresse IP, cookie, données de localisation, etc.).
Comment sont considérées les données ayant fait l'objet d'une pseudonymisation si elles peuvent être attribuées à une personne par des informations supplémentaires ? | Elles sont considérées comme des informations concernant une <b>personne physique identifiable</b>.
Qu'est-ce qu'un <b>"traitement"</b> selon le RGPD ? | Toute opération ou ensemble d'opérations appliquées à des données personnelles, automatisées ou non (collecte, enregistrement, conservation, modification, effacement, etc.).
Qu'est-ce que le <b>"profilage"</b> ? | Toute forme de <b>traitement automatisé</b> de données personnelles consistant à utiliser ces données pour évaluer des aspects personnels relatifs à une personne physique (rendement au travail, situation économique, santé, localisation, etc.).
Une autorité publique recevant des données dans le cadre d'une mission d'enquête particulière est-elle considérée comme un "destinataire" au sens du RGPD ? | Non. Le traitement par ces autorités doit être conforme aux règles applicables en matière de protection des données en fonction des finalités du traitement.
Quelles sont les quatre qualités requises pour qu'un consentement soit valide au sens du RGPD ? | Il doit être <b>libre, spécifique, éclairé et univoque</b> (donné par un acte positif clair, sans silence ni case cochée par défaut).
Qu'est-ce que la <b>"pseudonymisation"</b> ? | Un traitement de données personnelles de telle façon qu'elles ne puissent plus être attribuées à une personne précise <b>sans informations supplémentaires</b>, conservées séparément avec des mesures de sécurité.
Qu'est-ce qu'un <b>"responsable du traitement"</b> ? | La personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement, détermine les <b>finalités et les moyens</b> du traitement.
Qu'est-ce qu'un <b>"sous-traitant"</b> ? | La personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel <b>pour le compte du responsable du traitement</b>.
Citez les six principes relatifs au traitement des données personnelles (Article 5 du RGPD). | 1. <b>Licéité, loyauté, transparence</b>.<br>2. <b>Limitation des finalités</b>.<br>3. <b>Minimisation des données</b>.<br>4. <b>Exactitude</b>.<br>5. <b>Limitation de la conservation</b>.<br>6. <b>Intégrité et confidentialité</b>.
Quel est le principe exigeant que toute information relative au traitement soit aisément accessible, facile à comprendre, et formulée en des termes clairs et simples ? | Le principe de <b>transparence</b>.
Quelle est la base légale requise pour les traitements nécessaires à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique ? | Le traitement doit être fondé sur le <b>droit de l'Union ou le droit d'un État membre</b>.
Les autorités publiques peuvent-elles s'appuyer sur la base de licéité des "intérêts légitimes" dans l'exécution de leurs missions ? | Non, ce fondement (Art. 6.1.f) ne s'applique pas au traitement effectué par les autorités publiques dans l'exécution de leurs missions.
Quel type de traitement ultérieur est généralement considéré comme compatible et licite, même s'il diffère de la finalité initiale ? | Le traitement ultérieur à des fins <b>archivistiques dans l'intérêt public</b>, à des fins de <b>recherche scientifique ou historique</b>, ou à des fins <b>statistiques</b>.
Quelles catégories particulières de données sont en principe interdites de traitement (Article 9.1) ? | Celles révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les <b>données génétiques, biométriques, de santé ou relatives à la vie/orientation sexuelle</b>.
Quand le traitement de données sensibles (Art 9.1) est-il autorisé pour les autorités publiques, si ce n'est par le consentement explicite ? | Lorsqu'il est nécessaire pour des <b>motifs d'intérêt public important</b>, sur la base du droit de l'Union ou d'un État membre, et assorti de garanties appropriées.
Comment les traitements portant sur les données de santé pour la médecine préventive ou la gestion de services de soins de santé peuvent-ils être traités licitement ? | Ils doivent être effectués par un <b>professionnel de la santé soumis à une obligation de secret professionnel</b> (ou une autre personne également soumise à une obligation de secret).
Le traitement de données génétiques, biométriques ou de santé peut-il faire l'objet de conditions ou de limitations supplémentaires au niveau national ? | Oui, les États membres peuvent maintenir ou introduire des <b>conditions supplémentaires</b>, y compris des limitations, pour le traitement de ces catégories.
Quelle est la double obligation du responsable du traitement en ce qui concerne la sécurité des données (Article 32) ? | Mettre en œuvre les <b>mesures techniques et organisationnelles appropriées</b> pour garantir un niveau de sécurité adapté au risque.
Citez au moins deux exemples de mesures de sécurité exigées par l'Article 32 du RGPD. | La <b>pseudonymisation</b> et le <b>chiffrement</b> des données personnelles, ou des moyens garantissant la <b>confidentialité, l'intégrité, la disponibilité et la résilience</b> constantes des systèmes.
Quel est le délai maximal pour que le responsable du traitement notifie une violation de données à caractère personnel à l'autorité de contrôle ? | <b>72 heures au plus tard</b> après en avoir pris connaissance, à moins qu'il ne puisse démontrer qu'il est peu probable que la violation engendre un risque.
Quel est le rôle du sous-traitant en cas de violation de données ? | Il doit notifier le responsable du traitement <b>dans les meilleurs délais</b> après en avoir pris connaissance.
Quand le responsable du traitement doit-il effectuer une <b>Analyse d'Impact relative à la Protection des Données (AIPD/DPIA)</b> ? | Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, est susceptible d'engendrer un <b>risque élevé</b> pour les droits et libertés des personnes physiques.
Citez deux situations où une AIPD est requise (Article 35.3). | L'évaluation systématique et approfondie d'aspects personnels (profilage) produisant des effets juridiques ; ou le traitement <b>à grande échelle</b> de catégories particulières de données sensibles ou de données pénales.
Si une AIPD révèle un risque élevé non atténué, quelle étape le responsable du traitement doit-il entreprendre avant de procéder au traitement ? | Il doit <b>consulter l'autorité de contrôle préalablement</b>.
Dans quel cas une autorité publique doit-elle désigner un <b>Délégué à la Protection des Données (DPO)</b> ? | Lorsque le traitement est réalisé par une autorité publique (à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle).
Quel est le délai standard de réponse du responsable du traitement à une demande d'exercice des droits (accès, rectification, etc.) par la personne concernée ? | Dans les meilleurs délais et en tout état de cause dans un délai d'<b>un mois</b> (prolongeable de deux mois).
Le responsable du traitement peut-il exiger un paiement pour fournir les informations ou prendre des mesures liées aux droits de la personne concernée ? | Non, sauf si les demandes sont <b>manifestement infondées ou excessives</b> (auquel cas il peut exiger des frais raisonnables ou refuser de donner suite).
En vertu du droit d'accès, la personne concernée a le droit d'être informée de l'existence d'une prise de décision automatisée (profilage). Quelle information utile doit être fournie dans ce cas ? | Des informations utiles concernant la <b>logique sous-jacente</b>, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée.
Le droit à l'effacement («droit à l'oubli») s'applique-t-il lorsque la conservation est nécessaire à l'exécution d'une mission d'intérêt public ou à des fins archivistiques dans l'intérêt public ? | Non, la conservation ultérieure des données est licite dans ces cas.
Dans le cadre d'un traitement automatisé, la personne concernée a le droit de recevoir ses données dans un format structuré et interopérable, et de les transmettre à un autre responsable (droit à la portabilité). Ce droit s'applique-t-il aux missions publiques ? | Non, il ne devrait pas s'appliquer lorsque le traitement est nécessaire à l'exécution d'une <b>mission d'intérêt public</b> ou relevant de l'exercice de l'autorité publique.
Quel droit est conféré à une personne concernant une décision prise sur le seul fondement d'un traitement automatisé (y compris le profilage) produisant des effets juridiques ou l'affectant de manière significative ? | Le droit de <b>ne pas faire l'objet</b> d'une telle décision.
Quelles sont les garanties minimales que doit mettre en œuvre le responsable du traitement lorsqu'une décision automatisée est exceptionnellement permise ? | Le droit d'obtenir une <b>intervention humaine</b>, d'exprimer son point de vue, et de <b>contester la décision</b>.
Selon la Loi Informatique et Libertés (LIL), quel est le statut de la <b>Commission Nationale de l'Informatique et des Libertés (CNIL)</b> ? | C'est une <b>autorité administrative indépendante</b>.
Selon la LIL, quel est l'objectif fondamental que l'informatique doit servir ? | Elle doit être <b>au service de chaque citoyen</b> et ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.
Quel est l'un des rôles réglementaires de la CNIL concernant les traitements de données de santé, génétiques et biométriques ? | Elle établit et publie des <b>règlements types</b> et peut prescrire des mesures techniques et organisationnelles supplémentaires pour leur traitement.
Comment sont autorisés les traitements de données personnelles mis en œuvre pour le compte de l'État qui intéressent la sûreté de l'État ou la défense (Titre IV de la LIL) ? | Par <b>arrêté du ou des ministres compétents</b>, pris après <b>avis motivé et publié de la CNIL</b>.
Comment sont autorisés les traitements pour le compte de l'État (exercice de la puissance publique) portant sur des données génétiques ou biométriques à des fins d'authentification ou de contrôle d'identité ? | Par <b>décret en Conseil d'État</b>, pris après avis motivé et publié de la CNIL.
En cas d'urgence et de violation grave des droits, quelle mesure provisoire la formation restreinte de la CNIL peut-elle adopter (sauf pour les traitements d'État sensibles) ? | L'<b>interruption provisoire</b> de la mise en œuvre du traitement pour une durée maximale de trois mois.
Les amendes administratives de la CNIL (jusqu'à 20 millions d'euros ou 4 % du CA mondial) s'appliquent-elles aux traitements mis en œuvre par l'État ? | Non, l'imposition d'une amende administrative est une exception dans les cas où le traitement est mis en œuvre par l'État.
Sur quelle période s'est déroulé le plan <b>ADministration ÉLEctronique (ADELE)</b>, visant à faire de l'e-administration un levier de modernisation de l'État ? | 2004-2007.
Quel est l'objectif principal du dispositif <b>France Connect</b> déployé en 2016 ? | Il permet d'utiliser un <b>compte, un identifiant et un mot de passe uniques</b> pour tous les services publics en ligne (impôts, caisse d'allocations familiales, mairie, etc.).
Quelle loi de 2016 a imposé aux administrations d'ouvrir leurs données publiques par défaut, y compris les algorithmes utilisés dans les décisions administratives ? | La <b>Loi pour une République numérique</b> (dite loi "Lemaire").
Quel est le principe de la politique de simplification de l'État visant à éviter de redemander les mêmes informations aux usagers ? | Le principe <b>"dites-le-nous une fois"</b> (partage des données des usagers entre administrations par défaut).
Quel est le nom de l'outil d'IA générative, souverain et libre, développé par la DINUM et déployé dans le réseau France services depuis 2024 ? | <b>"Albert"</b>.
Quel fonds a été créé au titre du Grand plan d’investissement 2018-2022 pour accompagner les administrations dans leurs projets de transformation ? | Le <b>Fonds pour la transformation de l’action publique (FTAP)</b>.