I85PREP
⌘ K
CDPO/FR study materials
CDPO/FR study resources

CDPO/FR practice questions

One question at a time. Build your CDPO/FR understanding.

First 50 of 200 questions. Each one lists the choices, the correct answer, and an explanation. The checker at the top of this page saves progress in this browser when it is available.

Continue in the practice tool above to load more questions, 50 at a time.

Question 1Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quelle est la principale innovation de la Convention 108+ par rapport à la Convention 108 de 1981 ?

  1. Elle supprime la distinction entre données personnelles et données sensibles pour simplifier le texte
  2. Elle fusionne la Convention 108 avec le RGPD dans un instrument unique applicable dans le monde entier
  3. Elle modernise la convention en tenant compte des évolutions technologiques et renforce la coopération entre autorités de contrôle Correct answer.
  4. Elle rend la ratification obligatoire pour tous les États membres du Conseil de l'Europe

Explanation

La Convention 108+ est le protocole d'amendement adopté en 2018 qui modernise la Convention 108 en couvrant les nouvelles technologies, en renforçant les principes de protection et en améliorant la coopération entre autorités. Elle reste un instrument du Conseil de l'Europe, distinct du RGPD.

Question 2Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Dans le RGPD, quel est le rôle du comité européen de la protection des données (CEPD) ?

  1. Il contrôle les transferts de données vers les pays tiers et délivre les décisions d'adéquation
  2. Il assure l'application cohérente du RGPD dans l'Union et émet des lignes directrices Correct answer.
  3. Il instruit les plaintes individuelles des personnes concernées à la place des autorités nationales
  4. Il représente les responsables de traitement dans les négociations avec la Commission

Explanation

Le CEPD est un organe de l'Union qui contribue à l'application cohérente du RGPD, notamment par des lignes directrices, recommandations et bonnes pratiques, et qui arbitre les divergences entre autorités nationales. Il ne traite pas les plaintes individuelles, rôle dévolu aux autorités de contrôle nationales.

Question 3Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quel texte de l'Union européenne encadre notamment les communications électroniques, le stockage d'informations sur les terminaux et les cookies ?

  1. La directive 2002/58/CE modifiée, dite ePrivacy Correct answer.
  2. Le règlement (UE) 2016/679
  3. La convention 108+ du Conseil de l'Europe
  4. La directive 95/46/CE

Explanation

La directive 2002/58/CE, dite ePrivacy, régit le traitement des données dans le secteur des communications électroniques, y compris les règles sur les cookies et le stockage d'informations sur les terminaux. Elle complète le RGPD sur ces points spécifiques.

Question 4Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Selon le RGPD, quelle base juridique permet à une administration de traiter des données pour accomplir une mission d'intérêt public ?

  1. L'article 6, paragraphe 1, point e), relatif à l'exécution d'une mission d'intérêt public Correct answer.
  2. L'intérêt légitime du responsable de traitement
  3. L'exécution d'un contrat auquel la personne est partie
  4. Le consentement explicite de la personne concernée

Explanation

L'article 6, paragraphe 1, point e) du RGPD permet le traitement nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique. Les autorités publiques ne peuvent en principe pas invoquer l'intérêt légitime pour leurs missions.

Question 5Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Que désigne la notion de « décision d'adéquation » dans le RGPD ?

  1. Un avis du CEPD autorisant un transfert spécifique vers un sous-traitant
  2. Un accord bilatéral entre deux autorités de contrôle nationales
  3. Une décision de la Commission constatant qu'un pays tiers assure un niveau de protection adéquat Correct answer.
  4. Une certification délivrée par une autorité de contrôle à un importateur de données

Explanation

La Commission européenne peut adopter une décision constatant qu'un pays tiers, un territoire ou un secteur assure un niveau de protection adéquat, ce qui facilite les transferts vers ce destinataire. Cette décision est prise selon la procédure prévue à l'article 45 du RGPD.

Question 6Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quel principe du RGPD impose que les données soient collectées pour des finalités déterminées, explicites et légitimes ?

  1. Le principe de limitation des finalités Correct answer.
  2. Le principe de minimisation
  3. Le principe d'exactitude
  4. Le principe de limitation de la conservation

Explanation

L'article 5, paragraphe 1, point b) consacre le principe de limitation des finalités : les données doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible. Les autres principes portent sur le volume, la qualité ou la durée de conservation.

Question 7Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quelle est la fonction de la Convention 108+ à l'égard des pays qui ne sont pas membres du Conseil de l'Europe ?

  1. Elle s'applique automatiquement à tous les pays du monde sans ratification
  2. Elle peut leur être ouverte par invitation, ce qui permet d'élargir le cercle des États parties Correct answer.
  3. Elle ne concerne que les États membres de l'Union européenne
  4. Elle leur interdit tout transfert de données depuis l'Union européenne

Explanation

La Convention 108 est ouverte à l'adhésion d'États non membres du Conseil de l'Europe sur invitation du Comité des Ministres. Son champ dépasse donc largement l'Union européenne et le Conseil de l'Europe.

Question 8Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quel organe est chargé, au sein du Conseil de l'Europe, de veiller au respect de la Convention 108+ ?

  1. Le Comité consultatif de la convention, composé de représentants des Parties Correct answer.
  2. Le Contrôleur européen de la protection des données
  3. La Cour européenne des droits de l'homme, statuant en première instance
  4. Le groupe de travail de l'article 29

Explanation

Le Comité consultatif de la Convention 108, composé de représentants des Parties, suit l'application de la convention et peut émettre des recommandations et avis. Il ne faut pas le confondre avec le CEPD, organe de l'Union.

Question 9Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Une entreprise française envisage de transférer des données vers un pays tiers sans décision d'adéquation. Quelles garanties appropriées peut-elle invoquer pour encadrer ce transfert ?

  1. Les clauses contractuelles types adoptées par la Commission ou des règles d'entreprise contraignantes approuvées Correct answer.
  2. Uniquement le consentement oral des personnes concernées
  3. Une autorisation verbale du sous-traitant étranger
  4. Une simple mention dans la politique de confidentialité du site internet

Explanation

En l'absence de décision d'adéquation, l'article 46 du RGPD permet de recourir à des garanties appropriées, notamment les clauses contractuelles types, les règles d'entreprise contraignantes ou les codes de conduite approuvés. Ces garanties doivent être juridiquement contraignantes et conférer des droits aux personnes concernées.

Question 10Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Dans le cadre de la directive ePrivacy, quel principe s'applique par défaut au stockage ou à l'accès à des informations déjà stockées dans l'équipement terminal d'un utilisateur ?

  1. Le consentement préalable de l'utilisateur est requis, sauf exceptions prévues par la directive Correct answer.
  2. Une simple information de l'utilisateur suffit dans tous les cas
  3. Le stockage est libre dès lors que l'utilisateur a accepté la politique de confidentialité
  4. Une autorisation préalable de la CNIL est systématiquement requise

Explanation

L'article 5, paragraphe 3, de la directive ePrivacy exige en principe le consentement préalable de l'utilisateur pour stocker ou accéder à des informations sur son terminal. Des exceptions existent, notamment pour les cookies strictement nécessaires à la fourniture d'un service demandé par l'utilisateur.

Question 11Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Une personne demande à consulter les données que détient une administration. Quel droit du RGPD exerce-t-elle ?

  1. Le droit de ne pas faire l'objet d'une décision automatisée
  2. Le droit à la portabilité des données
  3. Le droit d'accès prévu à l'article 15 Correct answer.
  4. Le droit à l'effacement prévu à l'article 17

Explanation

L'article 15 du RGPD confère à la personne concernée le droit d'obtenir du responsable de traitement la confirmation que des données la concernant sont traitées et d'en obtenir une copie, ainsi que des informations sur les finalités et destinataires. Les autres droits visent des situations différentes.

Question 12Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quel est le délai de principe fixé par le RGPD pour que le responsable de traitement réponde à une demande d'exercice de droits ?

  1. Aucun délai n'est fixé, la réponse peut intervenir à tout moment
  2. Six mois à compter de la réception de la demande
  3. Quarante-huit heures à compter de la réception de la demande
  4. Un mois à compter de la réception de la demande, prorogeable de deux mois si nécessaire Correct answer.

Explanation

L'article 12, paragraphe 3, prévoit que le responsable de traitement fournit les informations relatives à la demande dans un délai d'un mois, prorogeable de deux mois supplémentaires en cas de complexité ou de nombre élevé de demandes, avec information de la personne.

Question 13Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quelle condition distingue le consentement valable au sens du RGPD ?

  1. Il doit être libre, spécifique, éclairé et univoque, et peut être retiré à tout moment Correct answer.
  2. Il doit être écrit et signé de manière manuscrite par la personne concernée
  3. Il doit être renouvelé chaque mois par la personne concernée
  4. Il doit être recueilli par une autorité de contrôle indépendante

Explanation

L'article 4, point 11, et l'article 7 du RGPD exigent un consentement libre, spécifique, éclairé et univoque, exprimé par une déclaration ou un acte positif clair. La personne peut le retirer à tout moment, et le retrait doit être aussi simple que le consentement.

Question 14Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quel est le champ d'application territorial du RGPD à l'égard d'un responsable de traitement établi hors de l'Union européenne ?

  1. Le RGPD s'applique lorsque le traitement est lié à une offre de biens ou de services aux personnes dans l'Union ou au suivi de leur comportement Correct answer.
  2. Le RGPD s'applique uniquement si le responsable possède une filiale dans chaque État membre
  3. Le RGPD s'applique dès que le responsable traite des données de ressortissants européens où qu'ils soient
  4. Le RGPD ne s'applique jamais aux responsables établis hors de l'Union

Explanation

L'article 3, paragraphe 2, étend le RGPD aux responsables ou sous-traitants non établis dans l'Union lorsque leurs activités de traitement sont liées à l'offre de biens ou de services à des personnes situées dans l'Union ou au suivi de leur comportement dans l'Union. La nationalité des personnes n'est pas le critère déterminant.

Question 15Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quelle est la nature juridique du RGPD dans l'ordre juridique des États membres ?

  1. Une recommandation non contraignante du Conseil de l'Europe
  2. Une directive nécessitant une transposition nationale
  3. Une convention internationale soumise à ratification
  4. Un règlement directement applicable dans les États membres Correct answer.

Explanation

Le RGPD est un règlement de l'Union européenne, directement applicable dans les États membres sans transposition, conformément à l'article 288 du traité sur le fonctionnement de l'Union européenne. Les États peuvent toutefois préciser certaines dispositions par des règles nationales.

Question 16Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quel principe s'applique au traitement des données relatives aux condamnations pénales et aux infractions selon le RGPD ?

  1. Ces données peuvent être traitées librement comme toute autre donnée
  2. Leur traitement est totalement interdit dans tous les cas
  3. Leur traitement est soumis au seul consentement implicite de la personne concernée
  4. Leur traitement n'est possible que sous le contrôle de l'autorité publique ou lorsqu'il est autorisé par le droit de l'Union ou des États membres Correct answer.

Explanation

L'article 10 du RGPD réserve le traitement des données relatives aux condamnations pénales et aux infractions à un cadre spécifique : il ne peut être effectué que sous le contrôle de l'autorité publique ou s'il est autorisé par le droit de l'Union ou d'un État membre prévoyant des garanties appropriées.

Question 17Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Une entreprise souhaite utiliser des données pour un nouveau projet éloigné de la finalité initiale. Quel principe du RGPD doit-elle examiner en priorité ?

  1. Le principe de sécurité, qui impose de chiffrer les données
  2. Le principe de transparence, qui impose seulement d'informer les personnes
  3. Le principe de responsabilité, qui impose de désigner un délégué à la protection des données
  4. Le principe de limitation des finalités, qui interdit en principe les traitements ultérieurs incompatibles Correct answer.

Explanation

Le principe de limitation des finalités, énoncé à l'article 5, paragraphe 1, point b), exige que les données ne soient pas traitées ultérieurement de manière incompatible avec les finalités initiales. Un traitement ultérieur à des fins archivistiques, scientifiques ou statistiques peut être considéré comme compatible sous conditions.

Question 18Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quel est l'effet de l'abrogation de la directive 95/46/CE par le RGPD ?

  1. La Convention 108+ devient le seul texte applicable dans l'Union
  2. Les États membres doivent continuer d'appliquer la directive 95/46/CE en parallèle
  3. Le RGPD remplace la directive tout en reprenant et renforçant son socle de principes Correct answer.
  4. Les principes de la directive disparaissent totalement du droit de l'Union

Explanation

Le RGPD a abrogé la directive 95/46/CE tout en s'inscrivant dans sa continuité : il reprend les principes essentiels de la directive et les renforce, notamment par de nouvelles obligations et un mécanisme de guichet unique.

Question 19Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Dans quelle situation le RGPD impose-t-il la désignation d'un délégué à la protection des données (DPO) ?

  1. Lorsque le traitement est effectué par une autorité publique, ou qu'il constitue une activité de base impliquant un suivi régulier et systématique à grande échelle, ou un traitement à grande échelle de données sensibles Correct answer.
  2. Dès que l'entreprise utilise un service de cloud computing
  3. Uniquement lorsque l'entreprise compte plus de mille salariés
  4. Uniquement lorsque la CNIL adresse une mise en demeure

Explanation

L'article 37 du RGPD prévoit trois cas de désignation obligatoire : le traitement par une autorité publique ou un organisme public, les activités de base impliquant un suivi régulier et systématique à grande échelle, et le traitement à grande échelle de catégories particulières de données ou de données relatives aux condamnations.

Question 20Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quel est le rôle d'une autorité de contrôle nationale comme la CNIL dans l'architecture du RGPD ?

  1. Elle délivre les décisions d'adéquation pour les transferts internationaux
  2. Elle surveille l'application du RGPD sur son territoire, instruit les plaintes et peut prononcer des sanctions Correct answer.
  3. Elle représente l'État membre devant la Cour de justice de l'Union européenne
  4. Elle adopte les règlements d'exécution de la Commission européenne

Explanation

Les autorités de contrôle nationales sont indépendantes et chargées de surveiller l'application du RGPD, de traiter les plaintes, de mener des enquêtes et de prononcer des sanctions. Elles coopèrent entre elles au sein du CEPD, mais ne remplacent ni la Commission ni la Cour.

Question 21Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Une société veut s'appuyer sur l'intérêt légitime pour envoyer des prospections commerciales par courrier électronique à des particuliers. Quel élément doit-elle particulièrement vérifier au regard du droit de l'Union ?

  1. La mise en balance des intérêts et le respect des règles spécifiques de la directive ePrivacy sur les communications électroniques non sollicitées Correct answer.
  2. La publication des coordonnées des destinataires sur un registre public
  3. L'accord préalable de la Commission européenne
  4. L'absence totale de toute base légale autre que le consentement

Explanation

L'intérêt légitime suppose une mise en balance des intérêts du responsable et des droits des personnes, documentée dans une analyse. S'y ajoutent les règles de la directive ePrivacy, qui encadrent la prospection par courrier électronique et peuvent exiger le consentement préalable selon les cas.

Question 22Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Comment s'articulent le RGPD et la directive ePrivacy pour le traitement des données de communications électroniques ?

  1. Le RGPD s'applique de manière générale et la directive ePrivacy le complète par des règles spécifiques au secteur des communications électroniques Correct answer.
  2. Les deux textes s'appliquent de manière identique sans aucune spécificité sectorielle
  3. La directive ePrivacy a été abrogée par le RGPD
  4. La directive ePrivacy prime en tout et exclut l'application du RGPD

Explanation

Le RGPD constitue le cadre général de protection des données, tandis que la directive ePrivacy précise et complète ces règles pour le secteur des communications électroniques, notamment les cookies et la prospection. Les deux instruments s'appliquent de manière complémentaire, la lex specialis n'excluant pas la lex generalis.

Question 23Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Un sous-traitant établi dans un pays tiers traite des données pour le compte d'un responsable établi dans l'Union. Quelle obligation spécifique le RGPD impose-t-il au responsable en matière de transfert ?

  1. Aucune obligation, le sous-traitant étant seul responsable des données
  2. Le responsable doit rapatrier toutes les données dans l'Union sous trente jours
  3. Le responsable doit s'assurer qu'un instrument juridique approprié encadre le transfert et que des garanties effectives existent Correct answer.
  4. Le responsable doit obtenir l'autorisation préalable du Parlement européen

Explanation

Le responsable de traitement reste comptable du transfert : il doit vérifier l'existence d'une décision d'adéquation ou de garanties appropriées au sens des articles 45 et 46, et s'assurer de leur effectivité, notamment au regard de la jurisprudence sur les transferts.

Question 24Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quelle est la portée de l'article 22 du RGPD relatif aux décisions individuelles automatisées ?

  1. Il ne s'applique qu'aux décisions prises par des autorités de contrôle
  2. Il encadre le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets significatifs, sous réserve d'exceptions Correct answer.
  3. Il interdit toute forme d'automatisation dans les décisions administratives
  4. Il autorise sans condition le profilage à des fins publicitaires

Explanation

L'article 22 confère à la personne concernée le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou l'affectant de manière significative. Ce droit connaît des exceptions, notamment le consentement explicite, la nécessité contractuelle ou une autorisation légale, assorties de garanties.

Question 25Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quel mécanisme de coopération le RGPD prévoit-il lorsqu'un traitement transfrontalier concerne plusieurs États membres ?

  1. Le mécanisme du guichet unique conduit à une autorité chef de file, avec la possibilité de saisine du CEPD en cas de divergence Correct answer.
  2. La Commission européenne instruit directement toutes les plaintes transfrontalières
  3. Chaque autorité nationale agit isolément sans échange d'informations
  4. La Cour de justice de l'Union européenne autorise chaque traitement transfrontalier

Explanation

Le RGPD organise la coopération entre autorités de contrôle, avec un mécanisme de guichet unique désignant une autorité chef de file pour les traitements transfrontaliers. En cas de divergence entre autorités concernées, le CEPD peut être saisi pour adopter une décision contraignante.

Question 26Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Parmi les propositions suivantes, laquelle correspond à une obligation imposée par le RGPD au responsable du traitement et non au sous-traitant ?

  1. Mettre en œuvre les mesures de sécurité appropriées pour le traitement des données
  2. Tenir un registre des activités de traitement effectuées pour le compte du responsable
  3. Informer le responsable de traitement de toute violation de données dans les meilleurs délais
  4. Désigner un délégué à la protection des données lorsque le traitement est susceptible d'engendrer un risque élevé Correct answer.

Explanation

L'article 37 du RGPD impose au responsable du traitement de désigner un DPO dans certains cas, notamment lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés. Le sous-traitant n'a pas cette obligation en tant que telle ; il doit faciliter la conformité mais la désignation incombe au responsable. Les autres obligations citées pèsent sur le sous-traitant ou sont partagées.

Question 27Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quel est l'effet juridique d'une décision d'adéquation adoptée par la Commission européenne concernant un pays tiers ?

  1. Elle supprime l'obligation pour le responsable de traitement de tenir un registre des activités de traitement.
  2. Elle impose au pays tiers d'adopter une législation identique au RGPD dans un délai de deux ans.
  3. Elle rend le RGPD directement applicable dans le pays tiers pour tous les traitements de données.
  4. Elle autorise les transferts de données vers ce pays sans garanties supplémentaires, sauf si la décision est ultérieurement modifiée ou abrogée. Correct answer.

Explanation

Une décision d'adéquation constate que le pays tiers assure un niveau de protection adéquat, ce qui permet les transferts sans autorisation spécifique ni garanties additionnelles. Elle ne rend pas le RGPD applicable dans le pays tiers et n'impose pas d'harmonisation législative. La Commission peut la modifier ou l'abroger si la situation évolue.

Question 28Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Dans la directive ePrivacy (2002/58/CE), quel est le principe applicable par défaut au stockage d'informations dans l'équipement terminal d'un utilisateur ou à l'accès à ces informations ?

  1. Le stockage et l'accès sont libres dès lors que l'utilisateur n'a pas exprimé d'opposition.
  2. Le stockage et l'accès sont soumis à une autorisation préalable de l'autorité de contrôle nationale.
  3. Le stockage et l'accès sont interdits, sauf consentement préalable de l'utilisateur ou exception technique nécessaire à la fourniture d'un service demandé. Correct answer.
  4. Le stockage et l'accès sont autorisés pour une durée maximale de treize mois sans formalité.

Explanation

L'article 5, paragraphe 3, de la directive ePrivacy pose le principe de l'interdiction du stockage ou de l'accès aux informations déjà stockées dans l'équipement terminal, sauf consentement préalable et informé de l'utilisateur. Une exception existe pour les opérations techniques indispensables à la fourniture d'un service de la société de l'information expressément demandé par l'utilisateur. Ce principe s'applique indépendamment de la nature des données concernées.

Question 29Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Quelle est la fonction du Comité européen de la protection des données (CEPD) institué par le RGPD ?

  1. Il assure une application cohérente du RGPD dans toute l'Union en émettant des lignes directrices, des recommandations et des avis, et en arbitrant les divergences entre autorités de contrôle. Correct answer.
  2. Il contrôle l'application du RGPD par les institutions de l'Union européenne et peut prononcer des amendes à leur encontre.
  3. Il remplace les autorités de contrôle nationales pour les traitements transfrontaliers et délivre les autorisations préalables.
  4. Il représente l'Union européenne devant la Cour de justice de l'Union européenne dans les litiges relatifs à la protection des données.

Explanation

Le CEPD, composé des chefs des autorités de contrôle nationales et du Contrôleur européen de la protection des données, a pour mission de contribuer à l'application cohérente du RGPD. Il émet des lignes directrices, recommandations et bonnes pratiques, et rend des avis contraignants en cas de divergence entre autorités de contrôle dans les procédures de coopération. Il ne se substitue pas aux autorités nationales et n'exerce pas de pouvoir de sanction à l'égard des institutions.

Question 30Cadre juridique européen et international de la protection des données (RGPD, Convention 108+, directives ePrivacy)

Une autorité de contrôle nationale constate qu'un responsable de traitement a commis une violation du RGPD et souhaite prononcer une amende. Quel est le plafond administratif maximal que le RGPD permet de fixer pour les violations les plus graves, et quelle est la base légale de ce plafond ?

  1. Un montant illimité, fixé discrétionnairement par chaque autorité de contrôle en fonction de la gravité, sans plafond prévu par le RGPD.
  2. 50 millions d'euros ou 5 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé, en vertu de l'article 84.
  3. 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé, en vertu de l'article 83, paragraphe 4.
  4. 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'exercice précédent, selon le montant le plus élevé, en vertu de l'article 83, paragraphe 5. Correct answer.

Explanation

L'article 83, paragraphe 5, du RGPD fixe le plafond le plus élevé des amendes administratives à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Ce plafond s'applique aux violations les plus graves, notamment celles des principes de base, des droits des personnes ou des règles de transfert. Les autorités nationales doivent respecter ce cadre harmonisé.

Question 31Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

En droit français, quelle autorité administrative indépendante est chargée de veiller au respect de la loi Informatique et Libertés et du RGPD sur le territoire national ?

  1. L'ARCOM
  2. La CNIL Correct answer.
  3. Le Conseil d'État
  4. La CADA

Explanation

La Commission nationale de l'informatique et des libertés (CNIL) est l'autorité de contrôle française désignée pour le RGPD et la loi Informatique et Libertés. Elle dispose de pouvoirs d'enquête, de sanction et de conseil. Les autres autorités citées ont des missions distinctes, sans compétence générale en protection des données.

Question 32Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quelle est la nature juridique de la CNIL dans l'organisation administrative française ?

  1. Une juridiction administrative spécialisée
  2. Un service déconcentré du ministère de la Justice
  3. Un établissement public industriel et commercial
  4. Une autorité administrative indépendante Correct answer.

Explanation

La CNIL est une autorité administrative indépendante : elle ne reçoit d'instructions de personne dans l'exercice de ses missions de contrôle et de sanction. Elle rend des décisions administratives susceptibles de recours devant le Conseil d'État. Elle n'est ni une juridiction ni un service rattaché à un ministère.

Question 33Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quel texte a créé la Commission nationale de l'informatique et des libertés en France ?

  1. La loi n° 2018-493 du 20 juin 2018
  2. La loi n° 78-17 du 6 janvier 1978 Correct answer.
  3. Le règlement (UE) 2016/679 du 27 avril 2016
  4. Le décret n° 2005-1309 du 20 octobre 2005

Explanation

La loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés a institué la CNIL et posé les bases du régime français de protection des données. Le décret de 2005 est un texte d'application pris pour sa mise en œuvre. Le RGPD et la loi de 2018 ont modifié le cadre sans créer la Commission.

Question 34Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quelle formation de la CNIL adopte les sanctions pécuniaires les plus lourdes et les décisions les plus solennelles ?

  1. Le collège consultatif élargi
  2. La formation restreinte Correct answer.
  3. La commission d'accès aux documents
  4. Le comité de l'innovation

Explanation

La formation restreinte est l'organe de la CNIL compétent pour prononcer les sanctions, y compris les amendes administratives, après une procédure contradictoire. Elle est distincte du collège qui exerce les autres missions. Les autres dénominations ne correspondent pas à des organes décisionnels de la CNIL.

Question 35Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Une entreprise française souhaite obtenir l'avis préalable de la CNIL sur un traitement complexe susceptible d'engendrer un risque élevé. Quel mécanisme prévu par le RGPD et la loi nationale permet cette saisine ?

  1. La déclaration préalable simplifiée
  2. La consultation préalable de l'autorité de contrôle Correct answer.
  3. La certification obligatoire par un organisme agréé
  4. L'autorisation ministérielle expresse

Explanation

Le RGPD prévoit que le responsable de traitement consulte l'autorité de contrôle avant de mettre en œuvre un traitement lorsque l'analyse d'impact indique un risque résiduel élevé. La CNIL rend alors un avis écrit. Ce mécanisme remplace largement les anciennes formalités déclaratives.

Question 36Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quel est le montant maximal de l'amende administrative que la CNIL peut prononcer pour un manquement au RGPD, exprimé en pourcentage du chiffre d'affaires annuel mondial ?

  1. 10 % du chiffre d'affaires annuel mondial total de l'exercice précédent
  2. 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent
  3. 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent Correct answer.
  4. 1 % du chiffre d'affaires annuel mondial total de l'exercice précédent

Explanation

Le RGPD fixe le plafond le plus élevé à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. La loi Informatique et Libertés renvoie à ces plafonds pour les manquements les plus graves. Les autres pourcentages ne correspondent pas aux seuils prévus.

Question 37Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Un particulier estime que la CNIL a rejeté à tort sa demande d'intervention concernant un traitement. Quel recours juridictionnel peut-il exercer contre la décision de la CNIL ?

  1. Un appel devant la cour d'appel de Paris
  2. Une réclamation devant le Défenseur des droits
  3. Un pourvoi en cassation devant la Cour de cassation
  4. Un recours pour excès de pouvoir devant le Conseil d'État Correct answer.

Explanation

Les décisions de la CNIL sont des actes administratifs ; le recours en annulation est porté directement devant le Conseil d'État, juge de premier et dernier ressort en la matière. La cour d'appel et la Cour de cassation relèvent de l'ordre judiciaire, incompétent pour annuler un acte administratif.

Question 38Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quel décret organise les modalités d'application de la loi Informatique et Libertés, notamment les formalités et les procédures devant la CNIL ?

  1. Le décret n° 2020-877 du 13 juillet 2020
  2. Le décret n° 2005-1309 du 20 octobre 2005
  3. Le décret n° 78-774 du 17 juillet 1978
  4. Le décret n° 2019-536 du 29 mai 2019 Correct answer.

Explanation

Le décret n° 2019-536 du 29 mai 2019 a refondu le décret d'application de la loi Informatique et Libertés pour l'adapter au RGPD. Il précise notamment les procédures devant la CNIL et les formalités résiduelles. Le décret de 2005 a été remplacé par ce texte.

Question 39Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quelle procédure la CNIL doit-elle respecter avant de prononcer une sanction pécuniaire à l'encontre d'un responsable de traitement ?

  1. Une médiation préalable devant le Défenseur des droits
  2. Une procédure contradictoire avec mise en demeure préalable et possibilité de présenter des observations Correct answer.
  3. Un avis conforme obligatoire du ministère public
  4. Une décision unilatérale immédiate sans information préalable du mis en cause

Explanation

La CNIL doit respecter le contradictoire : elle notifie les griefs, laisse un délai pour présenter des observations et, sauf urgence, adresse une mise en demeure avant toute sanction. La formation restreinte délibère ensuite. Ce formalisme garantit les droits de la défense.

Question 40Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quel est le rôle de la CNIL en matière de « référentiels » sectoriels ?

  1. Homologuer les logiciels de gestion des ressources humaines avant leur commercialisation
  2. Délivrer des licences d'exploitation aux hébergeurs de données de santé
  3. Adopter des référentiels précisant la mise en œuvre du RGPD pour un secteur déterminé Correct answer.
  4. Fixer des normes techniques contraignantes pour les fabricants de matériel informatique

Explanation

La CNIL peut adopter des référentiels, après consultation du public, pour préciser les modalités d'application du RGPD dans un secteur ou pour un traitement type. Ces référentiels ont valeur de doctrine et peuvent être rendus contraignants par une décision de la CNIL. Ils ne constituent ni une homologation de produits ni une licence d'exploitation.

Question 41Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Une administration refuse de communiquer à un usager les données personnelles le concernant détenues dans un fichier. Quel fondement du droit français permet à la CNIL d'intervenir ?

  1. Le secret des affaires opposable à toute demande individuelle
  2. La prescription quadriennale des créances publiques
  3. Le droit d'accès et de rectification prévu par la loi Informatique et Libertés Correct answer.
  4. Le droit de rétention administrative prévu par le code des relations avec l'administration

Explanation

La loi Informatique et Libertés consacre un droit d'accès, de rectification et d'effacement au profit des personnes concernées, que la CNIL est chargée de faire respecter. En cas de refus, la personne peut saisir la CNIL, qui peut intervenir et contrôler le traitement. Les autres notions sont étrangères à ce droit.

Question 42Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quelle est la sanction maximale que la CNIL peut prononcer à l'encontre d'un responsable de traitement pour un manquement grave, en euros, lorsque le plafond en pourcentage n'est pas applicable ?

  1. 50 millions d'euros
  2. 5 millions d'euros
  3. 1 million d'euros
  4. 20 millions d'euros Correct answer.

Explanation

Le RGPD prévoit un plafond fixe de 20 millions d'euros pour les manquements les plus graves, cumulable avec le critère du pourcentage du chiffre d'affaires. La loi française renvoie à ces montants. Les autres chiffres ne correspondent pas aux seuils du texte européen.

Question 43Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quel pouvoir la CNIL exerce-t-elle lorsqu'elle adresse une « mise en demeure » à un organisme ?

  1. Un pouvoir de nomination des délégués à la protection des données
  2. Un pouvoir juridictionnel de condamnation pénale
  3. Un pouvoir d'injonction assorti d'un délai pour se mettre en conformité Correct answer.
  4. Un pouvoir de contrôle des comptes annuels de l'organisme

Explanation

La mise en demeure est un acte d'injonction par lequel la CNIL enjoint au responsable de traitement de se conformer dans un délai déterminé. Elle peut être assortie d'une astreinte et précède souvent une sanction. Elle ne relève ni du pénal ni du contrôle financier.

Question 44Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quel dispositif national encadre spécifiquement le traitement des données de santé à des fins de recherche, sous l'égide de la CNIL ?

  1. Le fichier des comptes bancaires
  2. Le registre national du commerce et des sociétés
  3. Le casier judiciaire national
  4. Le système national des données de santé et les procédures d'autorisation ou de déclaration de conformité Correct answer.

Explanation

Le système national des données de santé (SNDS) organise l'accès aux données de santé à des fins de recherche, d'étude et d'évaluation. Les traitements correspondants relèvent de procédures encadrées, avec l'intervention de la CNIL et du comité éthique compétent. Les autres fichiers n'ont pas cet objet.

Question 45Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Une société souhaite transférer des données vers un pays tiers sans décision d'adéquation. Quel mécanisme peut-elle utiliser sous le contrôle de la CNIL ?

  1. Une simple autorisation orale du responsable de traitement
  2. Les clauses contractuelles types complétées par une analyse des risques et, si nécessaire, des mesures supplémentaires Correct answer.
  3. Une déclaration de conformité envoyée par courrier simple à la CNIL
  4. La publication des données sur un site public accessible à tous

Explanation

En l'absence de décision d'adéquation, le transfert peut reposer sur des garanties appropriées, notamment les clauses contractuelles types, complétées par une analyse d'impact du transfert et des mesures supplémentaires si le pays ne garantit pas un niveau de protection adéquat. La CNIL contrôle ces garanties. Les autres pratiques ne constituent pas des mécanismes de transfert licites.

Question 46Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quel est le rôle de la CNIL à l'égard des délégués à la protection des données (DPO) ?

  1. Elle rémunère les DPO des organismes publics
  2. Elle tient une liste des DPO désignés et peut être destinataire de leurs alertes Correct answer.
  3. Elle nomme elle-même les DPO de toutes les entreprises françaises
  4. Elle sanctionne pénalement les DPO en cas de manquement

Explanation

La CNIL tient une liste publique des délégués à la protection des données désignés et reçoit leurs notifications. Le DPO est désigné par le responsable de traitement ou le sous-traitant, et non par la CNIL. La CNIL peut être saisie par le DPO en cas de désaccord, mais ne le rémunère ni ne le sanctionne pénalement.

Question 47Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quelle est la portée de la doctrine de la CNIL, exprimée notamment par ses lignes directrices et ses recommandations ?

  1. Elle se limite aux seules entreprises publiques
  2. Elle a valeur de loi et s'impose au Parlement
  3. Elle ne peut jamais être invoquée devant un juge
  4. Elle éclaire l'interprétation du droit applicable sans se substituer au texte, mais peut fonder des attentes de conformité Correct answer.

Explanation

Les lignes directrices et recommandations de la CNIL précisent l'interprétation des textes et orientent les organismes dans leur mise en conformité. Elles ne sont pas des lois, mais elles peuvent être prises en compte par les juges et par la CNIL elle-même dans son contrôle. Elles s'appliquent à tous les responsables de traitement concernés.

Question 48Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quel organe de la CNIL exerce les missions de conseil et de contrôle en dehors des sanctions, et comprend des membres de différentes origines ?

  1. La formation restreinte
  2. Le collège Correct answer.
  3. Le comité de la protection des données de santé
  4. La commission de contrôle des fichiers de police

Explanation

Le collège de la CNIL est l'organe plénier qui exerce les missions de conseil, d'information et de contrôle, tandis que la formation restreinte sanctionne. Le collège réunit des membres issus de diverses institutions. Les autres organes cités n'ont pas cette compétence générale.

Question 49Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quel principe la loi Informatique et Libertés consacre-t-elle s'agissant des décisions administratives fondées exclusivement sur un traitement automatisé ?

  1. La suppression du droit de recours de la personne concernée
  2. La présomption de légalité de toute décision automatisée
  3. L'interdiction de telles décisions lorsqu'elles produisent des effets juridiques, sauf exceptions prévues Correct answer.
  4. L'obligation de recourir systématiquement à un algorithme

Explanation

La loi et le RGPD encadrent les décisions entièrement automatisées produisant des effets juridiques : elles sont en principe interdites, sauf si elles sont nécessaires à la conclusion d'un contrat, autorisées par le droit ou fondées sur le consentement explicite. La personne conserve un droit d'opposition et d'intervention humaine. Les autres propositions contredisent ce régime.

Question 50Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)

Quelle obligation pèse sur le responsable de traitement en cas de violation de données susceptible d'engendrer un risque pour les droits et libertés ?

  1. Informer uniquement les actionnaires de l'organisme
  2. Notifier la violation à la CNIL dans les 72 heures lorsque le risque est avéré Correct answer.
  3. Publier la violation au Journal officiel
  4. Attendre le prochain rapport annuel pour informer la CNIL

Explanation

Le RGPD impose au responsable de traitement de notifier à l'autorité de contrôle toute violation susceptible d'engendrer un risque pour les droits et libertés dans un délai de 72 heures après en avoir pris connaissance. Si le risque est élevé, il doit aussi informer les personnes concernées. Les autres formalités ne sont pas prévues.