CDPO/FR flashcards

32 cards. Read the term and the definition here. The deck at the top of this page is optional.

RGPD

Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, applicable depuis le 25 mai 2018 dans toute l'Union européenne.

Convention 108+

Convention du Conseil de l'Europe modernisée en 2018, qui protège les données personnelles et encadre les transferts internationaux ; elle est ouverte à la ratification des États non membres.

Directive ePrivacy

Directive 2002/58/CE sur la vie privée et les communications électroniques, qui régit les cookies, le spam et la confidentialité des communications ; transposée en France dans la LIL.

CNIL

Autorité administrative indépendante française chargée de veiller à la protection des données personnelles ; elle contrôle, enquête, sanctionne et délivre des autorisations et des avis.

Loi Informatique et Libertés

Loi n° 78-17 du 6 janvier 1978 modifiée, texte national français qui complète le RGPD et encadre notamment les traitements de police, de santé et de recherche.

Décret 2019-536

Décret français du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés, qui précise les modalités d'exercice des droits, la désignation du DPO et la notification des violations.

Minimisation

Principe de l'article 5.1.c du RGPD selon lequel les données traitées doivent être adéquates, pertinentes et limitées au strict nécessaire au regard de la finalité poursuivie.

Limitation de conservation

Principe de l'article 5.1.e du RGPD imposant de conserver les données pour une durée n'excédant pas celle nécessaire aux finalités, puis de les supprimer ou anonymiser.

Responsabilité (accountability)

Principe de l'article 5.2 du RGPD obligeant le responsable de traitement à mettre en œuvre et à pouvoir démontrer le respect des principes de protection des données.

Consentement

Manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne accepte le traitement de ses données ; il peut être retiré à tout moment.

Droit d'accès

Droit de la personne concernée d'obtenir du responsable de traitement la confirmation que des données la concernant sont traitées et d'en recevoir une copie, dans un délai d'un mois.

Droit à la portabilité

Droit de recevoir les données fournies par la personne dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable, lorsque le traitement est automatisé et fondé sur le consentement ou le contrat.

Responsable de traitement

Personne physique ou morale, autorité publique, service ou organisme qui détermine les finalités et les moyens du traitement des données personnelles (article 4.7 du RGPD).

Sous-traitant

Personne physique ou morale, autorité publique, service ou organisme qui traite des données personnelles pour le compte du responsable de traitement (article 4.8 du RGPD).

DPO

Délégué à la protection des données, chargé d'informer et de conseiller le responsable de traitement, de contrôler le respect du RGPD et de coopérer avec la CNIL.

Registre des traitements

Document obligatoire (article 30 du RGPD) recensant les activités de traitement, leurs finalités, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité.

AIPD

Analyse d'impact relative à la protection des données, obligatoire pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés, notamment la surveillance systématique ou les données sensibles à grande échelle.

Privacy by design

Principe de l'article 25 du RGPD imposant d'intégrer la protection des données dès la conception des traitements, produits et services, et non a posteriori.

Violation de données

Tout incident de sécurité entraînant la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données personnelles (article 4.12 du RGPD).

Notification CNIL 72 heures

Obligation pour le responsable de traitement de notifier à la CNIL toute violation de données susceptible d'engendrer un risque pour les droits et libertés, dans les 72 heures après en avoir pris connaissance.

Chiffrement

Mesure de sécurité technique (article 32 du RGPD) consistant à transformer les données pour les rendre illisibles sans la clé de déchiffrement, protégeant la confidentialité en cas d'incident.

Décision d'adéquation

Décision de la Commission européenne constatant qu'un pays tiers assure un niveau de protection adéquat des données personnelles, permettant des transferts sans garanties supplémentaires.

CCT

Clauses contractuelles types adoptées par la Commission européenne (décision 2021/914) pour encadrer les transferts de données vers des pays tiers dépourvus de décision d'adéquation.

BCR

Règles d'entreprise contraignantes, approuvées par l'autorité de contrôle chef de file, qui encadrent les transferts de données au sein d'un groupe multinational et lient toutes les entités du groupe.

Arrêt Schrems II

Arrêt de la CJUE du 16 juillet 2020 invalidant le Privacy Shield et imposant de vérifier le niveau de protection du pays tiers et d'adopter des mesures supplémentaires pour les transferts.

Données de santé

Données personnelles relatives à l'état de santé physique ou mentale d'une personne, y compris les données de suivi médical, soumises à un régime renforcé (article 9 du RGPD).

Données biométriques

Données personnelles résultant d'un traitement technique spécifique relatif aux caractéristiques physiques, physiologiques ou comportementales d'une personne, permettant son identification unique ; leur traitement est interdit sauf exceptions.

NIR

Numéro d'inscription au répertoire des personnes physiques (numéro de sécurité sociale), donnée sensible dont l'usage est encadré par le décret n° 2019-341 et soumis à autorisation ou référentiel CNIL.

Opt-in

Mécanisme de consentement préalable obligatoire pour la prospection électronique (e-mail, SMS), sauf exception du soft opt-in pour les clients existants et produits analogues.

Cookies

Traceurs déposés sur le terminal d'un utilisateur, soumis au consentement préalable sauf s'ils sont strictement nécessaires au service ou de mesure d'audience anonymisée (article 82 LIL).

Code de conduite

Mécanisme de conformité volontaire (article 40 du RGPD) approuvé par la CNIL ou le CEPD, qui définit les règles applicables à un secteur et peut être invoqué comme preuve de conformité.

Certification

Mécanisme de conformité volontaire (article 42 du RGPD) délivré par un organisme accrédité, attestant qu'un traitement respecte les exigences du RGPD et pouvant faciliter les transferts.