RGPD & Droit
des personnes
Nacima Lamalchi Avocate IT & DPO externalisé, Co-fondatrice
MyDataPartner
Module n°3 – 20 Nov 2024
Module 3 : Droit des
personnes
Cours du 20 novembre 2024
1. Droit à l’information préalable
2. Droit d’accès
3. Droit de rectification
4. Droit d’effacement
5. Autres droits
6. Quizz et étude de cas
Droit à l’information (Art 13 &
14)
Définition :
Le droit à l’information garantit que les personnes concernées
reçoivent des informations claires, complètes et accessibles sur :
•L’identité du responsable de traitement ;
•Les finalités du traitement et la base légale ;
•Les destinataires des données ;
•La durée de conservation ;
•Les droits des personnes et leur exercice ;
•Les transferts éventuels de données hors UE.
•Les mesures de sécurité
•Le droit de saisir la CNIL en cas de difficulté
Droit à l’information (Art 13 &
14)
Définition :
Le droit à l’information garantit que les personnes concernées
reçoivent des informations claires, complètes et accessibles sur :
•L’identité du responsable de traitement ;
•Les finalités du traitement et la base légale ;
•Les destinataires des données ;
•La durée de conservation ;
•Les droits des personnes et leur exercice ;
•Les transferts éventuels de données hors UE.
Droit à l’information (Art 13 &
14)
Jurisprudence
1. Secteur : Publicité en ligne
CNIL, Décision SAN-2022-001 (2022)
•Faits : Une entreprise de publicité ciblée a collecté des données via des
cookies sans informer clairement les utilisateurs.
•Sanction : 150 000 € pour non-respect des obligations d’information
2. Secteur : Santé
Conseil d’État, Décision n°451551 (2022)
•Faits : Un hôpital n’a pas informé ses patients que leurs données étaient
partagées avec un sous-traitant hors UE.
•Sanction : Annulation de la procédure pour défaut d’information.
Droit à l’information (Art 13 &
14)
QCM :
Quand l’information doit-elle être communiquée ?
a) Avant ou au moment de la collecte des données
b) Sur demande de la personne
Une entreprise peut-elle fournir des informations incomplètes ?
a) Oui, dans un délai raisonnable
b) Non, elles doivent être complètes dès le départ
Droit d’accès (Art 15)
Définition :
Permet à une personne de savoir si ses données sont
traitées et d’obtenir :
•Une copie des données ;
•Des informations sur le traitement (finalités, durée de
conservation, destinataires….)
Droit d’accès (Art 15)
Jurisprudence
1. Secteur : E-commerce
CNIL, Décision SAN-2022-015 (2022)
•Faits : Une entreprise n’a pas répondu dans les délais légaux (1 mois)
à plusieurs demandes d’accès.
•Sanction : Amende de 1,5 million €.
2. Secteur : Banque
Conseil d’État, Décision n°428120 (2021)
•Faits : Une banque a refusé de transmettre une copie intégrale des
données de ses clients.
•Sanction : Obligation de mise en conformité.
Droit d’accès (Art 15)
QCM :
[Link] est le délai légal pour répondre à une demande d’accès ?
a) 1 mois (renouvelable en cas de complexité)
b) 2 mois
2. Une entreprise peut-elle facturer une demande d’accès ?
a) Oui
b) Non, sauf si elle est manifestement excessive
Droit de rectification (Art 16)
Définition :
Permet à une personne de savoir si ses données sont
traitées et d’obtenir :
•Une copie des données ;
•Des informations sur le traitement (finalités, durée de
conservation, destinataires….)
Droit de rectification (Art 16)
Jurisprudence
Secteur : Assurance
CNIL, Décision 2020-101 (2020)
•Faits : Un client a demandé la correction de son adresse
erronée dans les bases d’une compagnie d’assurances, mais sa
demande a été ignorée pendant plus de deux mois.
•Problématique : L’entreprise a traité des données
incorrectes, entraînant des erreurs dans la gestion de la
relation client.
•Sanction : La CNIL a infligé une amende de 80 000 € pour
non-respect du droit de rectification.
Droit de rectification (Art 16)
QCM
Quelle est la durée maximale pour répondre à une demande de rectification ?
a) 15 jours
b) 1 mois (renouvelable en cas de complexité)
c) 6 mois
Si les données corrigées ont été partagées avec d’autres entités, l’entreprise doit :
a) Informer ces entités des corrections
b) Supprimer immédiatement toutes les données
c) Mettre fin à tout traitement sans informer les tiers
Une entreprise peut-elle refuser une demande de rectification ?
a) Oui, si elle dispose de preuves que les données sont exactes
b) Non, en aucun cas
c) Oui, mais uniquement avec l’accord du régulateur
Droit à l’effacement (Art 17)
Définition
Les personnes peuvent demander l’effacement de leurs
données dans les cas suivants :
•Données inutiles au regard des finalités ;
•Retrait du consentement ;
•Opposition légitime au traitement ;
•Traitement illégal.
Il y a aussi le droit à l’« oubli »
Droit à l’effacement (Art 17)
Jurisprudence
Droit à l’effacement (Art 17)
QCM
Un utilisateur demande l’effacement de ses données pour lesquelles il
avait donné son consentement. L’entreprise peut refuser si :
a) Les données sont utilisées à des fins statistiques
b) Le traitement est nécessaire pour une obligation légale
c) Les données sont encore utiles à des fins internes
Une entreprise peut refuser le droit à l’oubli si :
a) Les données ont été rendues publiques
b) Les données sont nécessaires à la liberté d’expression
c) L’utilisateur a changé d’avis
Autres droits
Droit à la limitation du traitement (Art 18)
Permet à une personne de geler temporairement
l’utilisation de ses données dans certains cas :
•Contestation de l’exactitude des données ;
•Opposition au traitement ;
•Données non nécessaires mais conservées pour un
motif légitime.
Autres droits
Droit à la limitation du traitement (Art 18)
Dans quel cas une entreprise doit-elle limiter le
traitement des données ?
a) Contestation de l'exactitude
b) Demande d’effacement refusée
c) Les deux
Autres droits
Droit à la portabilité (Art 20)
Ce droit permet aux personnes de récupérer leurs
données dans un format structuré, couramment
utilisé, et de les transmettre à un autre responsable du
traitement.
Autres droits
Droit à la portabilité (Art 20)
Quels types de données sont concernés par la
portabilité ?
a) Toutes les données personnelles
b) Les données collectées sur consentement ou contrat
c) Les données anonymiséesLes individus peuvent
s’opposer à un traitement dans certaines conditions,
notamment pour :
•Le traitement fondé sur l’intérêt légitime ;
•Les traitements à des fins de prospection.
Autres droits
Droit d’opposition (Art 21)
Les individus peuvent s’opposer à un traitement dans
certaines conditions, notamment pour :
•Le traitement fondé sur l’intérêt légitime ;
•Les traitements à des fins de prospection.
Autres droits
Droit d’opposition (Art 21)
Une personne s’oppose à recevoir des emails
publicitaires, l’entreprise doit :
a) Demander une confirmation écrite
b) Traiter immédiatement l’opposition
c) Conserver les données pour une durée illimitée
Autres droits
Droit de ne pas faire l’objet d’une décision
automatisée (Art 22)
Les personnes peuvent refuser qu'une décision les
concernant soit exclusivement basée sur un traitement
automatisé (ex : profilage) sauf exceptions.
Autres droits
Jurisprudence :
•CNIL, amende contre un service bancaire (2021) : Utilisation
abusive de systèmes d’évaluation automatique pour accorder ou
refuser des prêts.
QCM :
[Link] entreprise utilisant une IA pour des recrutements doit :
a) Informer les candidats et proposer une intervention humaine
b) Justifier uniquement les refus
c) Refuser l’accès aux résultats de l’évaluation