⚖️ C3.1.1 — Fondements du RGPD · Séance 1/2

Accroche (10 min)

En 2022, la CNIL a infligé une sanction de 150 millions d'euros à Google pour défaut de consentement valide des cookies. Cet épisode illustre que le RGPD n'est pas qu'un texte théorique : il s'applique concrètement et impose aux organisations, petites ou grandes, des obligations réelles sous peine de sanctions considérables.

Section 1 — Historique et cadre du RGPD (~70 min)

Genèse et entrée en vigueur

La Directive 95/46/CE (1995) posait des principes communs mais laissait une large marge de transposition aux États membres. Face à l'explosion des usages numériques et aux scandales (Cambridge Analytica, Yahoo!, etc.), l'Union Européenne a adopté le Règlement (UE) 2016/679 — RGPD :

• Adoption : 27 avril 2016
• Publication au JOUE : 4 mai 2016
• Entrée en application : 25 mai 2018
• Application directe dans les 27 États membres sans transposition nationale

Champ d'application

Le RGPD s'applique aux organisations établies dans l'UE, mais aussi à toute entreprise hors UE qui propose des biens/services à des personnes dans l'UE ou surveille leur comportement (art. 3 §2). Concrètement, la plupart des opérations d'une PME (formulaires web, logs, sauvegardes NAS) relèvent du RGPD.

Les 7 principes fondamentaux (Art. 5)

Section 2 — Définitions fondamentales (~20 min)

Donnée à caractère personnel

Toute information se rapportant à une personne physique identifiée ou identifiable. Une personne est identifiable directement (nom, prénom) ou indirectement (IP, cookie, localisation GPS, empreinte digitale).

Pseudonymisation vs Anonymisation

Pseudonymisation : remplace les identifiants directs par des dérivés — réidentification possible avec information complémentaire → donnée reste personnelle, RGPD s'applique toujours.

Anonymisation : transformation irréversible rendant toute réidentification raisonnablement impossible → données sortent du champ du RGPD.

Acteurs clés

Bases légales du traitement (Art. 6)

• Consentement : libre, spécifique, éclairé, univoque et révocable facilement
• Exécution d'un contrat : traitement nécessaire au contrat auquel la personne est partie
• Obligation légale : imposé par une loi (ex : gestion de la paie, archivage comptable)
• Intérêts vitaux : protection de la vie d'une personne
• Mission d'intérêt public : conférée par le droit de l'UE ou d'un État membre
• Intérêts légitimes : nécessaire aux intérêts légitimes du responsable, sauf primauté des droits des personnes

Travaux Pratiques — Analyse politique de confidentialité (90 min)

Scénario : InnovatTech reçoit une plainte CNIL d'un client qui affirme ne pas pouvoir exercer ses droits. Analysez la politique de confidentialité du site et identifiez les manquements au RGPD.

Livrable attendu

Tableau (traitement / base légale / durée conservation / droits mentionnés) + liste d'au moins 6 manquements référencés aux articles du RGPD avec corrections proposées.

# Rechercher la mention du DPO dans la politique récupérée
grep -i -n -E "DPO|délégué|protection" politique.txt || echo "DPO non mentionné"

# Vérifier les durées de conservation
grep -i -n -E "durée|conserv|retention|log" politique.txt || echo "Aucune durée explicitée"

# Vérifier la portabilité (art. 20)
grep -i -n "portabil" politique.txt || echo "Portabilité non mentionnée"

# Vérifier les transferts hors UE
grep -i -n -E "hors.*UE|etats-?unis|transfert" politique.txt || true

# Créer un squelette de rapport
cat > rapport-analyse.md <<'MD'
# Rapport — Analyse politique de confidentialité InnovatTech
| Traitement | Base légale présente ? | Durée conservation | Droits mentionnés |
|---|---|---|---|
MD

Manquements types à identifier (corrigé indicatif)

1. Absence de base légale pour les traitements listés → Art. 6 → Indiquer la base légale pour chaque finalité
2. Durée de conservation vague ("durée adaptée") → Art. 5(1)(e) → Définir des durées précises par catégorie
3. Droit à la portabilité non mentionné → Art. 20 → Ajouter la procédure pour l'exercer
4. DPO ou contact RGPD absent → Art. 37-39, Art. 12 → Désigner un contact dédié
5. Transferts hors UE sans garanties documentées (Google Analytics) → Art. 44-46 → Documenter les CCT/décision d'adéquation
6. Délai de réponse non précisé → Art. 12(3) → Indiquer le délai légal d'un mois (prorogeable)
7. Consentement cookies non conforme → Art. 6, directive ePrivacy → Mettre en place un bandeau conforme avec retrait facile

Synthèse (10 min)

Les 7 principes du RGPD forment un cadre cohérent : les traitements doivent être licites, loyaux, transparents, limités dans leurs finalités, minimisés, exacts, temporellement limités, sécurisés, et surtout démontrables. Ces obligations sont à la fois techniques (chiffrement, accès AD, pare-feu pfSense) et organisationnelles (registres, contrats, procédures).

Question de synthèse : En une phrase, expliquez pourquoi une donnée pseudonymisée reste une donnée personnelle sous le RGPD.