CDPO/FR key terms

Condition prévue par le RGPD qui rend un traitement de données personnelles licite : consentement, contrat, obligation légale, intérêt vital, mission d'intérêt public ou intérêts légitimes. Elle doit être déterminée avant le traitement et documentée.

Manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte le traitement de ses données. Il doit pouvoir être retiré aussi facilement qu'il a été donné et être démontrable par le responsable de traitement.

Base légale permettant un traitement nécessaire aux intérêts poursuivis par le responsable ou un tiers, sauf si les droits et libertés de la personne prévalent. Elle exige une mise en balance documentée et ne s'applique pas aux autorités publiques.

Principe imposant de ne collecter et traiter que les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité poursuivie. Il s'apprécie à chaque étape du cycle de vie du traitement.

Principe selon lequel les données ne peuvent être collectées que pour des finalités déterminées, explicites et légitimes, et ne peuvent ensuite être traitées de manière incompatible avec ces finalités. Un traitement ultérieur à des fins archivistiques ou statistiques peut être compatible.

Obligation de conserver les données sous une forme identifiant les personnes uniquement pendant la durée nécessaire aux finalités du traitement. Des durées d'archivage intermédiaire doivent être définies et documentées, avec des mécanismes de purge ou d'anonymisation.

Principe structurant du RGPD imposant au responsable de traitement de démontrer à tout moment le respect de ses obligations, notamment par une documentation interne, des politiques, des registres et des mesures techniques et organisationnelles appropriées.

Approche consistant à intégrer la protection des données dès la conception d'un produit, d'un service ou d'un processus, en amont et par défaut. Elle est exigée par l'article 25 du RGPD et doit être démontrable en cas de contrôle.

Obligation de configurer par défaut les paramètres de manière à ce que seules les données strictement nécessaires à chaque finalité soient traitées, sans intervention de la personne concernée. Elle complète le privacy by design.

Personne physique ou morale, autorité publique ou autre organisme qui détermine les finalités et les moyens du traitement. Il porte la responsabilité principale de la conformité et doit être identifiable dans le registre et les mentions d'information.

Personne ou organisme traitant des données pour le compte du responsable de traitement, sur instruction documentée de celui-ci. Il doit présenter des garanties suffisantes et être lié par un contrat conforme à l'article 28 du RGPD.

Recours par un sous-traitant à un autre prestataire pour réaliser tout ou partie du traitement. Elle nécessite une autorisation préalable, spécifique ou générale, du responsable de traitement et la transmission des mêmes obligations.

Accord écrit encadrant la relation entre responsable et sous-traitant, précisant l'objet, la durée, la nature et la finalité du traitement, les instructions, les mesures de sécurité, l'assistance aux droits et les conditions de restitution ou suppression des données.

Personne chargée d'informer et conseiller le responsable ou le sous-traitant, de contrôler la conformité, de coopérer avec la CNIL et d'être point de contact des personnes concernées. Sa désignation est obligatoire dans certains cas et il bénéficie d'une indépendance fonctionnelle.

Inventaire documenté des traitements mis en œuvre, indiquant leurs finalités, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité. Il constitue un outil central de la responsabilité et peut être demandé par la CNIL.

Évaluation préalable obligatoire des risques pour les droits et libertés lorsqu'un traitement est susceptible d'engendrer un risque élevé, notamment par son ampleur, sa nature ou l'usage de nouvelles technologies. Elle décrit les mesures envisagées et peut nécessiter une consultation de la CNIL.

Incident de sécurité entraînant de manière accidentelle ou illicite la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès à des données personnelles. Elle doit être documentée et, si nécessaire, notifiée à la CNIL sous 72 heures.

Déclaration d'une violation de données à la CNIL dans les 72 heures suivant sa prise de connaissance, sauf absence de risque pour les droits et libertés. Elle précise la nature de la violation, les catégories concernées, les conséquences et les mesures prises.

Information individuelle des personnes affectées par une violation susceptible d'engendrer un risque élevé pour leurs droits et libertés, décrivant la nature de l'incident, les conséquences et les mesures à prendre. Elle peut être publique si l'information individuelle exige des efforts disproportionnés.

Mesure de sécurité rendant les données illisibles sans clé de déchiffrement. Il est souvent attendu pour les données sensibles et peut réduire le risque d'une violation, notamment en limitant l'obligation de communication aux personnes concernées.

Traitement des données de manière à ce qu'elles ne puissent plus être attribuées à une personne sans recours à des informations supplémentaires conservées séparément et protégées. Elle réduit les risques et facilite la conformité mais ne constitue pas une anonymisation.

Processus irréversible rendant impossible l'identification d'une personne, compte tenu de tous les moyens raisonnablement susceptibles d'être utilisés. Les données véritablement anonymes sortent du champ du RGPD, ce qui exige une évaluation du risque de réidentification.

Catégories particulières de données visées à l'article 9 du RGPD : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, biométriques aux fins d'identification unique, données de santé et orientation sexuelle. Leur traitement est en principe interdit, sauf exception.

Forme renforcée de consentement, exprimée par une déclaration ou un acte positif clair, requise pour certains traitements de données sensibles ou pour les transferts fondés sur une dérogation spécifique. Elle ne se présume pas.

Données personnelles relatives à l'état de santé physique ou mentale d'une personne, y compris les informations sur les soins, les pathologies, les handicaps et les données génétiques ou biométriques liées à la santé. Leur traitement relève de règles renforcées et souvent du secret professionnel.

Données personnelles des salariés et candidats traitées dans le cadre de la gestion des ressources humaines : recrutement, paie, évaluation, temps de travail, santé au travail. Elles impliquent un déséquilibre entre employeur et salarié, ce qui limite la validité du consentement.

Traitement de données personnelles par captation d'images dans un espace déterminé, soumis à une base légale, à une information des personnes, à des durées de conservation limitées et, selon les cas, à des formalités ou autorisations nationales.

Transmission ou mise à disposition de données personnelles à un destinataire situé hors de l'Espace économique européen. Ils sont subordonnés à une décision d'adéquation, à des garanties appropriées ou à une dérogation spécifique prévue par le RGPD.

Décision de la Commission européenne constatant qu'un pays tiers ou une organisation internationale offre un niveau de protection essentiellement équivalent à celui de l'Union. Elle permet les transferts sans garantie supplémentaire, mais doit être réévaluée périodiquement.

Modèles de clauses adoptés par la Commission européenne encadrant les transferts vers un pays tiers dépourvu de décision d'adéquation. Leur utilisation exige une analyse des risques locaux et, si nécessaire, des mesures supplémentaires.

Politique interne de protection des données adoptée par un groupe multinational et approuvée par l'autorité compétente, permettant les transferts intra-groupe vers des pays tiers. Elles doivent être juridiquement contraignantes et inclure des droits opposables pour les personnes concernées.

Garanties techniques, organisationnelles ou contractuelles ajoutées aux clauses contractuelles types lorsqu'une analyse révèle que la législation du pays destinataire compromet l'effectivité des garanties. Elles peuvent inclure le chiffrement, la pseudonymisation ou des restrictions d'accès.

Autorité administrative indépendante française chargée de veiller à la conformité des traitements, d'informer le public, d'instruire les plaintes, de contrôler et de sanctionner. Elle dispose de pouvoirs de mise en demeure, de sanction pécuniaire et de coopération européenne.

Loi française du 6 janvier 1978, modifiée notamment en 2018 et 2019 pour mettre le droit national en conformité avec le RGPD. Elle précise les marges nationales, les formalités, les droits et les régimes particuliers applicables en France.

Document adopté par la CNIL précisant, pour un secteur ou un type de traitement, les finalités, les données, les durées de conservation et les mesures de sécurité attendues. Il peut être opposé lors d'un contrôle et sert de guide de conformité.

Directive européenne encadrant la confidentialité des communications électroniques, le stockage d'informations sur les terminaux et la prospection électronique. Elle est complétée en France par l'article 82 de la loi Informatique et Libertés.

Accord préalable, libre, spécifique, éclairé et univoque de l'utilisateur au dépôt de traceurs non strictement nécessaires. Il doit être recueilli par un bandeau clair, pouvoir être retiré facilement et ne peut résulter d'une case précochée ou d'un simple défilement.

Envoi de messages commerciaux par courrier électronique, SMS ou automate d'appel, en principe soumis au consentement préalable du destinataire, avec une exception pour les clients existants portant sur des produits analogues et assortie d'un droit d'opposition.

Droit de la personne d'obtenir du responsable la confirmation que des données la concernant sont traitées, puis une copie de ces données et des informations sur les finalités, destinataires, durées et droits. Il s'exerce sans frais dans un délai d'un mois.

Droit d'obtenir la correction de données inexactes et le complètement de données incomplètes, dans un délai d'un mois. Il prolonge le principe d'exactitude et oblige le responsable à informer les destinataires des données.

Droit d'obtenir la suppression de données lorsque leur traitement n'est plus nécessaire, que le consentement est retiré, que la personne s'oppose ou que le traitement est illicite. Il connaît des exceptions, notamment pour le respect d'une obligation légale ou l'exercice de droits en justice.

Droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l'intérêt légitime ou une mission d'intérêt public. Pour la prospection commerciale, l'opposition est absolue et doit être gratuite.

Faculté pour la personne de retirer son consentement à tout moment, sans que cela affecte la licéité des traitements antérieurs. Le retrait doit être aussi simple que le consentement et être rendu visible dans l'interface ou les mentions d'information.

Ensemble de règles sectorielles approuvées par l'autorité de contrôle, précisant l'application du RGPD pour des responsables ou sous-traitants, et pouvant servir de garantie appropriée pour les transferts internationaux. Il est contrôlé par un organisme agréé.

Mécanisme volontaire par lequel un organisme accrédité atteste qu'un traitement ou un produit respecte le RGPD, sur la base de critères approuvés par l'autorité. Elle facilite la démonstration de conformité et peut encadrer certains transferts.

Démarche d'évaluation indépendante et documentée visant à vérifier le respect des obligations de protection des données, identifier les écarts et formuler des recommandations. Elle s'appuie sur des preuves, des entretiens et des tests, et alimente le plan d'action.