63. Protection des données personnelles et RGPD

63.1 Donnée personnelle
Identifier les informations relatives à une personne physique identifiée ou identifiable, distinguer identification directe et indirecte, anonymisation, pseudonymisation et catégories particulières et appliquer une méthode de qualification.

Identifier juridiquement une donnée personnelle
Reconnaître l’identification directe et indirecte
Cartographier les familles de données en entreprise
Distinguer données anonymes, pseudonymisées et catégories particulières
Qualifier une situation et documenter la conclusion
Quiz — Donnée personnelle

63.2 Traitement
Définir les opérations de traitement, distinguer données, opérations et activités, reconnaître les traitements numériques et papier et qualifier le champ matériel du RGPD au moyen de situations d’entreprise.

63.3 Personne concernée
Qualifier la personne physique dont les données sont traitées, reconnaître les personnes concernées dans des opérations professionnelles et multi-individuelles, situer leurs garanties et appliquer une méthode de qualification prudente.

63.4 Responsable de traitement
Identifier le décideur des finalités et des moyens essentiels, distinguer responsable, sous-traitant et autres acteurs, situer la responsabilité démontrable et qualifier les rôles d’une opération multi-acteurs.

63.5 Responsabilité conjointe
Qualifier la détermination commune des finalités et moyens d’un traitement, distinguer la coresponsabilité des rôles séparés, établir l’accord de l’article 26, préserver les droits des personnes et résoudre un cas multi-acteurs.

63.6 Sous-traitant
Qualifier la prestation de traitement pour compte d’autrui, encadrer les obligations contractuelles de l’article 28, appliquer les obligations directes, maîtriser les sous-traitants ultérieurs et prévenir les réutilisations autonomes.

63.7 Finalité
Définir des finalités déterminées, explicites et légitimes ; distinguer objectifs, opérations et moyens ; délimiter les usages ; évaluer les réutilisations par un test de compatibilité et en tirer les conséquences de conformité.

63.8 Base juridique
Identifier les six fondements de l’article 6 du RGPD, sélectionner celui qui correspond aux faits et à la finalité, distinguer licéité et régimes spéciaux, comprendre l’effet du fondement sur les droits et résoudre un cas professionnel.

63.9 Consentement
Comprendre le consentement comme base juridique de l’article 6, vérifier ses quatre critères cumulatifs, organiser son recueil et sa preuve, assurer un retrait effectif et appliquer ces règles à un service numérique.

63.10 Exécution d’un contrat
Appliquer l’article 6, paragraphe 1, point b), aux opérations objectivement nécessaires à un contrat avec la personne concernée et aux mesures précontractuelles demandées par elle ; délimiter ce fondement par finalité, nécessité et durée.

63.11 Obligation légale
Qualifier la base de l’article 6, paragraphe 1, point c), du RGPD : identifier l’obligation juridique applicable, vérifier ses conditions, délimiter les opérations strictement nécessaires et analyser les conséquences pour l’information et les droits des personnes.

63.12 Intérêt légitime
Appliquer l’article 6, paragraphe 1, point f), du RGPD : identifier un intérêt réel et licite, démontrer la nécessité, procéder à la mise en balance, documenter le raisonnement et respecter la transparence et l’opposition.

63.13 Minimisation
Maîtriser le principe de minimisation de l’article 5, paragraphe 1, point c), du RGPD : apprécier adéquation, pertinence et nécessité par finalité, réduire les données à chaque opération, documenter les choix et qualifier les collectes excessives dans des cas professionnels.

63.14 Exactitude
Appliquer le principe d’exactitude de l’article 5, paragraphe 1, point d), du RGPD : vérifier la fiabilité des informations selon leur finalité, distinguer histoire et état actuel, corriger les erreurs, traiter les demandes de rectification et prévenir leur propagation.

63.15 Limitation de conservation
Comprendre et appliquer la limitation de la conservation des données personnelles : choix de durées justifiées, points de départ, base active et archives, sort des copies et sauvegardes, traçabilité et résolution d’un cas professionnel.

63.16 Sécurité
Identifier l’obligation de sécurité prévue par le RGPD et ses conséquences : confidentialité, intégrité, disponibilité, résilience, approche par les risques, mesures techniques et organisationnelles, contrôle des prestataires, tests et gestion initiale des incidents.

63.17 Transparence
Obligation d’information proactive : contenu des mentions, collecte directe et indirecte, échéances, exceptions, lisibilité et preuve de conformité.

63.18 Droit d’accès
Étendue du droit d’accès, accès aux données et informations, modalités de réponse, délais, copie, droits des tiers et limites proportionnées.

63.19 Rectification
Droit de faire corriger ou compléter des données inexactes ; examen de l’exactitude, instruction des demandes, limitation provisoire et notifications aux destinataires.

63.20 Effacement
Motifs et exceptions du droit à l’effacement, examen par finalité, mises en œuvre techniques et communication aux destinataires, procédures et cas de conservation résiduelle.

63.21 Opposition
Conditions de l’opposition fondée sur la situation particulière, régime distinct de la prospection, instruction, effets sur les traitements et cas pratique de qualification.

63.22 Portabilité
Conditions cumulatives de la portabilité, distinction des données fournies, observées et inférées, formats et transferts sécurisés, limites et cas pratique.

63.23 Limitation
Régimes juridiques du droit à la limitation du traitement, opérations autorisées, délais, propagation aux destinataires et levée ; raisonnement appliqué à un score contesté.

63.24 Registre des traitements
Registre des activités de traitement : obligation de documentation, dérogation pour les petits organismes, contenus distincts des registres du responsable et du sous-traitant, tenue et contrôle.

63.25 Analyse d’impact
Comprendre le seuil de risque élevé imposant une AIPD, ses cas et critères, les éléments minimaux, le processus décisionnel, la consultation préalable et la mise à jour, par des qualifications et cas pratiques.

63.26 Protection des données dès la conception
Appliquer l’article 25 du RGPD à la conception, aux paramètres initiaux, aux choix de minimisation et d’accès, aux prestataires et à la preuve, en distinguant cette obligation de l’AIPD et de la sécurité.

63.27 Délégué à la protection des données
Identifier les cas de désignation obligatoire ou volontaire du DPO, organiser la fonction, garantir son indépendance, maîtriser les conflits d’intérêts et répartir conseil, contrôle et décisions à travers un cas pratique.

63.28 Sous-traitance
Organiser une relation de sous-traitance RGPD de bout en bout : vérification des garanties, contrat article 28, instructions, acteurs ultérieurs, audits, incidents, responsabilité et sortie, sans confondre sous-traitance et transfert international.

63.29 Transferts internationaux
Qualifier les transferts hors EEE, identifier le champ d’application du chapitre V, choisir une décision d’adéquation ou des garanties appropriées, apprécier leur effectivité et analyser les dérogations exceptionnelles.

63.30 Violations de données
Reconnaître une violation de données personnelles, organiser la réaction et la preuve, apprécier les risques pour les personnes, notifier l’autorité dans les délais lorsque requis et informer les personnes en cas de risque élevé.

63.31 Contrôles et sanctions
Qualifier les contrôles RGPD et les pouvoirs de la CNIL, comprendre les suites procédurales, différencier mesures correctrices, sanctions financières et recours, évaluer les plafonds de l'article 83 et appliquer la procédure française en vigueur depuis mai 2026 à un cas d'entreprise.

À propos du cours

Contenu du cours

63.1 Donnée personnelle Identifier les informations relatives à une personne physique identifiée ou identifiable, distinguer identification directe et indirecte, anonymisation, pseudonymisation et catégories particulières et appliquer une méthode de qualification.

Identifier juridiquement une donnée personnelle

Reconnaître l’identification directe et indirecte

Cartographier les familles de données en entreprise

Distinguer données anonymes, pseudonymisées et catégories particulières

Qualifier une situation et documenter la conclusion

Quiz — Donnée personnelle

63.2 Traitement Définir les opérations de traitement, distinguer données, opérations et activités, reconnaître les traitements numériques et papier et qualifier le champ matériel du RGPD au moyen de situations d’entreprise.

Définir le traitement et son périmètre

Identifier toutes les opérations du cycle de vie

Délimiter le champ matériel : numérique et papier

Décrire les traitements d’une entreprise sans les confondre avec les outils

Raisonner sur un cas pratique et prévenir les erreurs

Quiz — Traitement

63.3 Personne concernée Qualifier la personne physique dont les données sont traitées, reconnaître les personnes concernées dans des opérations professionnelles et multi-individuelles, situer leurs garanties et appliquer une méthode de qualification prudente.

Comprendre la notion de personne concernée

Reconnaître les personnes concernées dans les activités de l’entreprise

Analyser les données se rapportant à plusieurs personnes

Situer les droits et la représentation de la personne concernée

Qualifier un cas pratique et organiser la preuve de l’analyse

Quiz — Personne concernée

63.4 Responsable de traitement Identifier le décideur des finalités et des moyens essentiels, distinguer responsable, sous-traitant et autres acteurs, situer la responsabilité démontrable et qualifier les rôles d’une opération multi-acteurs.

Définir le responsable de traitement et son rôle juridique

Identifier la décision sur les finalités et les moyens essentiels

Distinguer responsable, sous-traitant et acteurs voisins

Comprendre les obligations et la responsabilité démontrable

Appliquer la qualification à une relation multi-acteurs

Quiz — Responsable de traitement

63.5 Responsabilité conjointe Qualifier la détermination commune des finalités et moyens d’un traitement, distinguer la coresponsabilité des rôles séparés, établir l’accord de l’article 26, préserver les droits des personnes et résoudre un cas multi-acteurs.

Qualifier une responsabilité conjointe au regard du RGPD

Délimiter le périmètre du traitement commun et les rôles distincts

Organiser l’accord entre responsables conjoints

Comprendre les droits des personnes et la portée de la responsabilité

Résoudre un cas pratique de traitement commun

Quiz — Responsabilité conjointe

63.6 Sous-traitant Qualifier la prestation de traitement pour compte d’autrui, encadrer les obligations contractuelles de l’article 28, appliquer les obligations directes, maîtriser les sous-traitants ultérieurs et prévenir les réutilisations autonomes.

Définir le sous-traitant et reconnaître la prestation pour compte d’autrui

Encadrer la relation par un contrat conforme à l’article 28

Appliquer les obligations directes du sous-traitant

Maîtriser les sous-traitants ultérieurs et la chaîne contractuelle

Prévenir les usages autonomes et qualifier un cas de prestation SaaS

Quiz — Sous-traitant

63.7 Finalité Définir des finalités déterminées, explicites et légitimes ; distinguer objectifs, opérations et moyens ; délimiter les usages ; évaluer les réutilisations par un test de compatibilité et en tirer les conséquences de conformité.

Définir la finalité et appliquer le principe de limitation

Délimiter les finalités lorsqu’un même fichier sert plusieurs usages

Faire découler les obligations RGPD de la finalité définie

Examiner une réutilisation et la compatibilité des finalités

Résoudre un cas pratique de détermination et de changement de finalité

Quiz — Finalité

63.8 Base juridique Identifier les six fondements de l’article 6 du RGPD, sélectionner celui qui correspond aux faits et à la finalité, distinguer licéité et régimes spéciaux, comprendre l’effet du fondement sur les droits et résoudre un cas professionnel.

Comprendre la licéité et la notion de base juridique

Identifier les six bases juridiques prévues par l’article 6

Choisir, justifier et documenter le fondement pertinent

Comprendre les conséquences juridiques du choix et les régimes particuliers

Appliquer le choix des bases juridiques à un dossier client

Quiz — Base juridique

63.9 Consentement Comprendre le consentement comme base juridique de l’article 6, vérifier ses quatre critères cumulatifs, organiser son recueil et sa preuve, assurer un retrait effectif et appliquer ces règles à un service numérique.

Qualifier le consentement comme fondement juridique

Vérifier les quatre critères de validité du consentement

Concevoir le recueil et organiser la preuve du consentement

Maîtriser le retrait et les conséquences du choix

Résoudre un cas pratique de consentement dans un service numérique

Quiz — Consentement

63.10 Exécution d’un contrat Appliquer l’article 6, paragraphe 1, point b), aux opérations objectivement nécessaires à un contrat avec la personne concernée et aux mesures précontractuelles demandées par elle ; délimiter ce fondement par finalité, nécessité et durée.

Définir la base juridique de l’exécution d’un contrat

Apprécier la nécessité objective du traitement

Délimiter les mesures précontractuelles et les opérations connexes

Déterminer les limites de la base contrat pendant et après la relation

Résoudre un cas pratique de contrat et de données clients

Quiz — Exécution d’un contrat

Qualifier l’obligation légale comme base juridique

Identifier le texte applicable et vérifier les conditions

Délimiter les opérations nécessaires et les autres finalités

Informer les personnes et traiter leurs demandes

Résoudre un cas pratique fondé sur une obligation légale

Quiz — Obligation légale

63.12 Intérêt légitime Appliquer l’article 6, paragraphe 1, point f), du RGPD : identifier un intérêt réel et licite, démontrer la nécessité, procéder à la mise en balance, documenter le raisonnement et respecter la transparence et l’opposition.

Comprendre l’intérêt légitime comme base de licéité

63.1 Donnée personnelle
Identifier les informations relatives à une personne physique identifiée ou identifiable, distinguer identification directe et indirecte, anonymisation, pseudonymisation et catégories particulières et appliquer une méthode de qualification.

63.2 Traitement
Définir les opérations de traitement, distinguer données, opérations et activités, reconnaître les traitements numériques et papier et qualifier le champ matériel du RGPD au moyen de situations d’entreprise.

63.3 Personne concernée
Qualifier la personne physique dont les données sont traitées, reconnaître les personnes concernées dans des opérations professionnelles et multi-individuelles, situer leurs garanties et appliquer une méthode de qualification prudente.

63.4 Responsable de traitement
Identifier le décideur des finalités et des moyens essentiels, distinguer responsable, sous-traitant et autres acteurs, situer la responsabilité démontrable et qualifier les rôles d’une opération multi-acteurs.

63.5 Responsabilité conjointe
Qualifier la détermination commune des finalités et moyens d’un traitement, distinguer la coresponsabilité des rôles séparés, établir l’accord de l’article 26, préserver les droits des personnes et résoudre un cas multi-acteurs.

63.6 Sous-traitant
Qualifier la prestation de traitement pour compte d’autrui, encadrer les obligations contractuelles de l’article 28, appliquer les obligations directes, maîtriser les sous-traitants ultérieurs et prévenir les réutilisations autonomes.

63.7 Finalité
Définir des finalités déterminées, explicites et légitimes ; distinguer objectifs, opérations et moyens ; délimiter les usages ; évaluer les réutilisations par un test de compatibilité et en tirer les conséquences de conformité.

63.8 Base juridique
Identifier les six fondements de l’article 6 du RGPD, sélectionner celui qui correspond aux faits et à la finalité, distinguer licéité et régimes spéciaux, comprendre l’effet du fondement sur les droits et résoudre un cas professionnel.

63.9 Consentement
Comprendre le consentement comme base juridique de l’article 6, vérifier ses quatre critères cumulatifs, organiser son recueil et sa preuve, assurer un retrait effectif et appliquer ces règles à un service numérique.

63.10 Exécution d’un contrat
Appliquer l’article 6, paragraphe 1, point b), aux opérations objectivement nécessaires à un contrat avec la personne concernée et aux mesures précontractuelles demandées par elle ; délimiter ce fondement par finalité, nécessité et durée.

63.12 Intérêt légitime
Appliquer l’article 6, paragraphe 1, point f), du RGPD : identifier un intérêt réel et licite, démontrer la nécessité, procéder à la mise en balance, documenter le raisonnement et respecter la transparence et l’opposition.

63.14 Exactitude
Appliquer le principe d’exactitude de l’article 5, paragraphe 1, point d), du RGPD : vérifier la fiabilité des informations selon leur finalité, distinguer histoire et état actuel, corriger les erreurs, traiter les demandes de rectification et prévenir leur propagation.

63.15 Limitation de conservation
Comprendre et appliquer la limitation de la conservation des données personnelles : choix de durées justifiées, points de départ, base active et archives, sort des copies et sauvegardes, traçabilité et résolution d’un cas professionnel.

63.16 Sécurité
Identifier l’obligation de sécurité prévue par le RGPD et ses conséquences : confidentialité, intégrité, disponibilité, résilience, approche par les risques, mesures techniques et organisationnelles, contrôle des prestataires, tests et gestion initiale des incidents.

63.17 Transparence
Obligation d’information proactive : contenu des mentions, collecte directe et indirecte, échéances, exceptions, lisibilité et preuve de conformité.

63.18 Droit d’accès
Étendue du droit d’accès, accès aux données et informations, modalités de réponse, délais, copie, droits des tiers et limites proportionnées.

63.19 Rectification
Droit de faire corriger ou compléter des données inexactes ; examen de l’exactitude, instruction des demandes, limitation provisoire et notifications aux destinataires.

63.20 Effacement
Motifs et exceptions du droit à l’effacement, examen par finalité, mises en œuvre techniques et communication aux destinataires, procédures et cas de conservation résiduelle.

63.21 Opposition
Conditions de l’opposition fondée sur la situation particulière, régime distinct de la prospection, instruction, effets sur les traitements et cas pratique de qualification.